PHANTOMPRINT

Passiv hybrides Analysewerkzeug für betriebssystemagnostisches Multiprotokoll-Profiling & Intelligence

Fingerabdrücke von Hosts in Ihrem Netzwerk ohne ein einziges Paket zu senden.

PHANTOMPRINT korreliert mehrere passive Signale (TCP/IP-Stack, TLS/JA4, DHCP Option 55, HTTP/2 HPACK, DNS-Verhalten), um Betriebssysteme, Browser und Geräte allein aus beobachtetem Verkehr zu identifizieren.

Warum PHANTOMPRINT?

Werkzeug	TCP/IP-FP	TLS JA4	DHCP-FP	Multisignal	Konfidenz-Score
p0f	✅	❌	❌	❌	❌
Zeek	✅	Plugin	❌	❌	❌
JA3er	❌	✅	❌	❌	❌
PHANTOMPRINT	✅	✅	✅	✅	✅

p0f wird seit 2014 nicht mehr gewartet. Zeek erfordert umfangreiche Infrastruktur. Nichts korreliert all diese Signale zu einem einheitlichen, bewerteten Hostprofil.

Funktionsweise

Network Traffic
      │
      ├─── TCP SYN/SYN-ACK ──→ TCPIPParser  ──→ TTL + Window + Options hash
      ├─── TLS ClientHello  ──→ TLSParser    ──→ JA4 fingerprint
      ├─── DHCP DISCOVER    ──→ DHCPParser   ──→ Option 55 fingerprint
      └─── (HTTP/2, DNS)    ──→ [coming v1.5]
                                      │
                                 SignalMerger
                                      │
                            Bayesian Score Engine
                                      │
                               HostProfile
                          ┌──────────┴──────────┐
                       Terminal              JSON / STIX

Es werden keine Pakete gesendet. Es werden keine Verbindungen geöffnet. Vollständig passiv.

Installation

git clone https://github.com/youruser/phantomprint
cd phantomprint
pip install -e ".[dev]"

Erfordert Python 3.11+ und root/CAP_NET_RAW für Live-Erfassung.

Verwendung

Live-Erfassung

sudo phantomprint live -i eth0
sudo phantomprint live -i eth0 -t 60 -o results.json
sudo phantomprint live -i eth0 --verbose

Analysieren einer PCAP-Datei (kein Root erforderlich)

phantomprint pcap capture.pcap
phantomprint pcap capture.pcap -o results.json

Geladene Signaturen auflisten

phantomprint signatures
phantomprint signatures --category os
phantomprint signatures --category browser

Beispielausgabe

◈ PHANTOMPRINT v0.1.0 — Ergebnisse (4 Hosts)

┌─────────────────┬──────────────────┬───────────────┬──────────────────────┬───────┐
│ Host / MAC      │ Betriebssystem   │ Browser / App │ Signale              │ Punktzahl │
├─────────────────┼──────────────────┼───────────────┼──────────────────────┼───────┤
│ 192.168.1.45    │ Windows 11       │ Chrome 120    │ TCP TLS DHCP         │  78%  │
│ 192.168.1.12    │ Linux 6.x        │ curl          │ TCP TLS              │  52%  │
│ 192.168.1.1     │ Cisco IOS Router │ —             │ TCP                  │  18%  │
│ aa:bb:cc:dd:... │ Android 12-14    │ —             │ DHCP                 │  31%  │
└─────────────────┴──────────────────┴───────────────┴──────────────────────┴───────┘

Signaturformat

Signaturen befinden sich in signatures/raw/ als YAML-Dateien:

# signatures/raw/os/windows11.yaml
id: os_win11
name: Windows 11
type: os
description: Windows 11 / Windows Server 2022
signals:
  tcp_ip:
    - "128:65535:1:mss,nop,wscale,sackok,timestamp"
    - "128:64240:1:mss,nop,wscale,sackok,timestamp"
  dhcp:
    - "1,3,6,15,31,33,43,44,46,47,119,121,249,252"

Fügen Sie eigene Signaturen hinzu und sie werden automatisch geladen.

Anwendungsfälle

Red Team: Stille Betriebssystem-/Browser-Erkundung vor der Ausnutzung – null IDS-Warnungen
Pentesting: Passive Kartierung von Netzwerkressourcen während der ersten Zugriffsphase
SOC / Threat Hunting: Erkennung von Schurken-Geräten oder Fingerabdruckänderungen (VM-Migration, Umgehung)
Bug Bounty: Passive Infrastruktur-Aufklärung ohne Erzeugung von Zielprotokollen
Forensik: Rekonstruktion, welche Betriebssysteme/Browser aus historischen PCAPs aktiv waren
Threat Intelligence: Verfolgung von Akteuren, die Infrastruktur über zusammengesetzte Hashes rotieren

Fahrplan

v1.0  ─ TCP/IP + TLS/JA4 + DHCP parsers (current)
v1.5  ─ HTTP/2 HPACK fingerprinting, DNS behavior analysis, Rust capture engine
v2.0  ─ Cross-sensor correlation (Redis), behavioral drift detection, STIX 2.1 output
v2.5  ─ Zeek plugin, Elastic/Splunk output, web UI

Rechtliches & Ethik

PHANTOMPRINT ist für die Verwendung in Netzwerken konzipiert, die Ihnen gehören oder für deren Überwachung Sie ausdrücklich autorisiert sind. Passives Fingerprinting fällt unter MITRE ATT&CK T1040 (Network Sniffing) – stellen Sie sicher, dass Sie vor dem Einsatz über die entsprechende Autorisierung verfügen.

Lizenziert unter GPL-3.0.

Beliebteste

phantomprint