Sniffer
aus Wikipedia, der freien Enzyklopädie
Ein Sniffer (engl. "to sniff" für riechen, schnüffeln) ist eine Software, die den Datenverkehr eines Netzwerks empfangen, aufzeichnen, darstellen und ggf. auswerten kann. Es handelt sich also um ein Werkzeug der LAN-Analyse.
Inhaltsverzeichnis |
[Bearbeiten] Herkunft des Begriffs
"Sniffer" ist ein eingetragenes Warenzeichen des Herstellers "Network General"; es bezeichnet ein Produkt der sog. LAN-Analyse. Da dieses Produkt als eines der ersten auf dem Markt war, und da sein Name so eingängig ist, hat sich der Name "Sniffer" allgemein durchgesetzt zur Bezeichnung vielfältigster Produkte der LAN-Analyse, ist also inzwischen auch als Gattungs-Begriff gebräuchlich.
[Bearbeiten] Technik
Ein Sniffer kennt den so genannten non-promiscuous mode und den Promiscuous Mode.
Im non-promiscuous mode wird der ankommende und abgehende Datenverkehr des eigenen Computers gesnifft.
Im Promiscuous Mode sammelt der Sniffer den gesamten Datenverkehr an die in diesen Modus geschaltete Netzwerkschnittstelle. Es werden also nicht nur die an ihn adressierten Frames empfangen, sondern auch die nicht an ihn adressierten. Der Adressat eines Frames wird in Ethernet-Netzwerken anhand der MAC-Adresse festgelegt.
Weiterhin ist es von der Netzwerkstruktur abhängig, welche Daten ein Sniffer sehen kann. Werden die Computer mit Hubs verbunden, kann sämtlicher Traffic von den anderen Hosts mitgeschnitten werden. Wird ein Switch verwendet, ist nur wenig oder gar kein Datenverkehr zu sehen, der nicht für das sniffende System selbst bestimmt ist. Allerdings gibt es in diesem Fall mehrere Möglichkeiten wie z. B. ARP-Spoofing, ICMP Redirects, DHCP Spoofing oder MAC-Flooding, um trotzdem die Frames empfangen zu können. Ein Switch darf also nicht als Sicherheitsfeature gesehen werden.
Es gibt mehrere Gründe, einen Sniffer zu benutzen:
- Diagnose von Netzwerkproblemen
- Eindringungsversuche entdecken
- Netzwerktraffic-Analyse und Filterung nach verdächtigem Inhalt
- Datenspionage
[Bearbeiten] Bekannte Sniffer-Produkte und ihre Einordnung
(Produkt-Übersicht: siehe unten)
Seit Ende der 80er Jahre gibt es LAN-Analyzer, allgemein als "Sniffer" bekannt (benannt nach dem ältesten und lange am weitesten verbreiteten Produkt). Daher wird im Umfeld der LAN-Analyse oft allgemein vom "Sniffer"-Einsatz gesprochen, ohne dass damit konkret das gleichnamige Produkt gemeint sein müsste, sondern eben lediglich irgendein Produkt dieser Gattung.
Allgemein wird unterschieden zwischen:
1 Local Analyzer <> Remote Analyzer / Distributed Analyzer 2 Hardware Analyzer <> Software Analyzer 3 Commercial Analyzer <> Non-Commercial (Open-Source) Analyzer
- "Local Analyzer" sind "klassische" PC-Programme. "Remote Analyzer" sind in fernen LAN-Segmenten stehende Agenten, die von einer zentralen Station angesteuert werden - wie im Netzwerk-Management-Bereich lange schon üblich. Man spricht dann von "Distributed Analysis". In stark durch Switching/Routing segmentierten Netzwerken ist diese Art der Analyse letztlich unverzichtbar.
- Wurde bis Mitte der 90er Jahre noch sehr stark auf Hardware-Analyzer gesetzt, haben sich heute weitgehend Software-Analyzer durchgesetzt, die auf PC-Basis arbeiten. Zwar ist in Hochleistungs-Netzwerken der Einsatz von Hardware-Analyzern weiterhin unverzichtbar; ihre hohen Kosten, die gegenüber Software-Analyzern mäßige Entwicklungsgeschwindigkeit sowie das Kapital-Risiko für den Fall von Fehlern ("bugs") haben die Kundschaft jedoch dazu übergehen lassen, nur dort Hardware einzusetzen, wo sie wirklich völlig unentbehrlich ist. Die Folge ist, dass kaum noch Hersteller von Hardware-Analyzern am Markt tätig sind.
- Bis Ende der 90er Jahre hat es praktisch nur kommerzielle Analyzer gegeben. Dies hat sich mit Wireshark (ehemals Ethereal) ab 1998 nach und nach geändert.
[Bearbeiten] Historie / Gegenwart:
Bis Ende der 90er Jahre waren die Anwender praktisch vollständig auf kommerzielle Produkte angewiesen. Deren Mangel war weniger, dass sie Geld kosteten, sondern vielmehr, dass die Hersteller am Markt vorbei arbeiteten und wichtige Bedürfnisse nicht oder zu spät erkannten.
Die Folge war, dass Anwender zur Selbsthilfe griffen (siehe Wireshark). Die Folge ist eine Krise vieler kommerzieller Hersteller (nicht Aller!).
Seit ca. 2002 hat die Akzeptanz und Verbreitung des GPL-Analyzers "Wireshark" (früher Ethereal) immens zugenommen. Dies liegt nicht nur darin begründet, dass diese Software via Internet kostenfrei bezogen werden kann; es liegt erheblich auch an der Mächtigkeit, der Entwicklungsgeschwindigkeit und am Praxisbezug.
Noch Ende der 90er Jahre waren rund 10 bedeutende kommerzielle Hersteller von LAN-Analyzern weltweit am Markt tätig (kleinere nicht mitgerechnet); inzwischen ist die Zahl der nennenswerten Hersteller auf rund 5 gesunken.
Der überaus großen Programmierergemeinde, die Wireshark inzwischen an sich binden konnte, kann auf der Seite der meisten kommerziellen Hersteller nichts mehr entgegen gesetzt werden. Außerdem beteiligen sich inzwischen große Unternehmen, die eigene LAN-Protokolle verwenden, an der Entwicklung. Dass Wireshark eine offene Plattform ist, hilft beispielsweise SIEMENS, die eigenen Protokolle der Maschinensteuerung oder der Medizintechnik analysieren zu können.
Möglicherweise entwickelt sich langfristig eine Arbeitsteilung, dass die Open-Source-Landschaft eher Software liefert, während die kommerziellen Hersteller auf leistungsfähige Hardware zielen, die im High-End-Bereich unerlässlich ist und naturgemäß von Open-Source-Projekten nicht geliefert werden kann. So hat der Hersteller Wildpackets (USA), als das Programm Wireshark noch Ethereal hieß, eine offizielle Übereinkunft mit Ethereal Inc. getroffen, um die Protocol-Decodes von Ethereal in den Wildpackets-Produkten (Etherpeek, Gigapeek, Omnipeek) einbinden zu können (was inzwischen funktioniert).
Die drei Hersteller, die LAN-Analyzer mit leistungsfähiger Hardware liefern können, sind (Stand: 2005) Network General (Sniffer), Network Instruments (Observer) und WildPackets (EtherPeek NX, OmniPeek). Weitgehend zurück gezogen bzw. auf dem Markt in Europa inzwischen eher bedeutungslos geworden sind die Hersteller Agilent (Hewlett-Packard), Acterna (Wavetec-Wandel-Goltermann) und Siemens (dessen Hardware-Analyzer "K1100" in den 90er Jahren eingestellt wurde; inzwischen engagiert sich Siemens -siehe oben- im Wireshark-Umfeld).
Es scheint also, dass "Commercial Analyzer" und "Non-Commercial (Open-Source) Analyzer" sich mit der Zeit verzahnen werden, sich ergänzen werden, auf einander angewiesen sein werden.
Einen weiteren Hinweis in diese Richtung zeigt der folgende Abschnitt.
[Bearbeiten] Experten-Systeme:
Ein Problem bei ALLEN Produkten ist, dass der Bearbeiter in der Regel über weit fortgeschrittene Kenntnisse verfügen muss, um Protokoll-Abläufe und Protokoll-Fehler erkennen und sicher bewerten zu können. Spätestens, wenn es um Haftungsfragen geht, müssen die Aussagen letztlich auch gerichtlicher bzw. gutachterlicher Überprüfung standhalten können, müssen also zweifelsfrei sein. Nur wenige Spezialisten sind in der Lage, dieses Niveau zu liefern. Dieses Nadelöhr stellt ein Problem an sich dar.
Die Versuche, über Expertensysteme diesen Engpass zu überwinden, haben zwar große Fortschritte bewirkt, haben aber nur sehr begrenzt erreichen können, dass auch Laien zur wirkungsvollen Selbsthilfe gelangen konnten.
[Bearbeiten] Produkt-Übersicht
Wichtige Produkte der LAN-Analyse in alphabetischer Reihenfolge:
nichtkommerziell (Freeware/GPL):
- Ettercap (http://ettercap.sourceforge.net/)
- Tcpdump (http://www.tcpdump.org/)
- Wireshark (http://www.wireshark.org/)
kommerziell (Software/Hardware):
- webSensor und webProbe (Moniforce) (http://www.moniforce.de)
- Clearsight Analyzer (Clearsight Networks) (http://www.clearsightnet.com/)
- EtherPeek,OmniPeek,GigaPeek (WildPackets) (http://www.wildpackets.com/)
- LANdecoder32 (Triticom) (http://www.triticom.com/)
- NetVCR (Niksun) (http://www.niksun.com/)
- NetworkActiv PIAFCTM (http://www.networkactiv.com/PIAFCTM.html)
- Observer (Network Instruments) (http://www.networkinstruments.com/)
- OptiView (Fluke Networks) (http://www.flukenetworks.com/de/)
- Sniffer (Network General) (http://www.sniffer.com/)
[Bearbeiten] Weblinks
- http://www.easy-network.de/sniffer.html Aufbau, Funktionsweise und Schutzmaßnahmen gegen einen Sniffer
- http://www.oxid.it/ Cain - Alleskönner by Bomber
- http://www.sniff-em.com/ Packet Sniffer
- http://www.networkgeneral.com/ Network General (ex NAI) Sniffer
- http://www.ietf.org/rfc/rfc1761.txt IETF Request for Comments Nr. 1761
