Sniffer
Analyzer-Mitschnitte untersuchen
von
Michael
Seemann - 31.10.2014
Das gezielte Mitschneiden des Netzwerkverkehrs via Sniffer hilft, Bedrohungen rechtzeitig zu erkennen. Allerdings ist die Untersuchung der Mitschnitte auf mögliche Malware-Aktivitäten aufwendig.
Der Online-Dienst Virus Total scannt kostenlos einzelne Dateien, indem er mehr als 20 verschiedene Online-Virenscanner namhafter Hersteller abfragt. Darüber hinaus bietet der Online-Scanner seit Kurzem auch an, den Mitschnitt eines Sniffers auf verdächtige Malware-Aktivitäten im überwachten Netzwerk zu untersuchen.
Scan: Der Online-Scanner Virus Total analysiert auch Netzwerkmitschnitte eines Sniffers im Dateiformat PCAP.
Dazu lädt man den zu untersuchenden Netzwerkmitschnitt im PCAP-Dateiformat auf den Server von Virus Total hoch. Der Online-Scanner extrahiert dann die im Mitschnitt enthaltenen Dateien und lässt diese zunächst von den Virenscannern prüfen.
Zusätzlich wird der in der PCAP-Datei abgebildete Netzwerkstrom durch die Intrusion-Detection-Systeme Snort und Suricata untersucht. Diese Systeme erkennen Malware-Infektionen im Netzwerkverkehr anhand typischer Angriffsmuster.
Nicht immer liefert die Analyse von Virus Total ein eindeutiges Ergebnis. Doch erhält man als Administrator sehr häufig wertvolle Hinweise, denen man dann mit Hilfe eigener Analyse-Tools nachgehen kann.
Beachten Sie: Der HTTP-Upload einer PCAP-Datei wird von Virus Total auf 64 MByte begrenzt – ebenso wie bei den übrigen zu scannenden Testdateien. Wer eine größere Datei analysiert haben möchte, muss Virus Total zuvor kontaktieren.
