wireshark-forensics-plugin

Wireshark सबसे व्यापक रूप से उपयोग किया जाने वाला नेटवर्क ट्रैफ़िक विश्लेषक है। यह लाइव ट्रैफ़िक विश्लेषण और फोरेंसिक/मैलवेयर विश्लेषकों के लिए फोरेंसिक विश्लेषण दोनों के लिए एक महत्वपूर्ण उपकरण है। हालाँकि Wireshark प्रोटोकॉल पार्सिंग और फ़िल्टरिंग के लिए अविश्वसनीय रूप से शक्तिशाली कार्यक्षमताएँ प्रदान करता है, यह नेटवर्क एंडपॉइंट के बारे में कोई प्रासंगिक जानकारी प्रदान नहीं करता है। एक विशिष्ट विश्लेषक के लिए, जिसे दुर्भावनापूर्ण गतिविधि की पहचान करने के लिए GBs के PCAP फ़ाइलों को छानना होता है, यह घास के ढेर में सुई खोजने जैसा है।

Wireshark Forensics Toolkit एक क्रॉस-प्लेटफ़ॉर्म Wireshark प्लगइन है जो नेटवर्क फोरेंसिक विश्लेषण को गति देने के लिए नेटवर्क ट्रैफ़िक डेटा को खतरे की खुफिया जानकारी, संपत्ति वर्गीकरण और भेद्यता डेटा के साथ सहसंबंधित करता है। यह इन अतिरिक्त प्रासंगिक गुणों के आधार पर फ़िल्टरिंग की अनुमति देने के लिए Wireshark के मूल खोज फ़िल्टर कार्यक्षमता का विस्तार करके ऐसा करता है। यह PCAP फ़ाइलों और रीयल-टाइम ट्रैफ़िक कैप्चर दोनों के साथ काम करता है।

यह टूलकिट निम्नलिखित कार्यक्षमता प्रदान करता है:

• MISP जैसे थ्रेट इंटेलिजेंस प्लेटफ़ॉर्म से निर्यात किए गए दुर्भावनापूर्ण संकेतक CSV को लोड करता है और इसे नेटवर्क ट्रैफ़िक से प्रत्येक स्रोत/गंतव्य IP से जोड़ता है।
• IP-रेंज से संपत्ति प्रकार मैपिंग के आधार पर संपत्ति वर्गीकरण जानकारी लोड करता है, जो एक विशिष्ट प्रकार की संपत्तियों (जैसे 'डेटाबेस सर्वर', 'कर्मचारी लैपटॉप' आदि) से आने/जाने वाले ट्रैफ़िक को फ़िल्टर करने में सक्षम बनाता है।
• Qualys/Nessus से निर्यात की गई भेद्यता स्कैन जानकारी लोड करता है जो IP को CVE से मैप करती है।
• नेटवर्क लॉग में प्रत्येक स्रोत या गंतव्य IP पते के लिए गंभीरता, स्रोत, संपत्ति प्रकार और CVE जानकारी के आधार पर फ़िल्टरिंग की अनुमति देने के लिए मूल Wireshark फ़िल्टर कार्यक्षमता का विस्तार करता है।

उपयोग कैसे करें

1. स्रोत Zip फ़ाइल डाउनलोड करें या कोड चेकआउट करें
2. फ़ोल्डर data/formatted_reports में 3 फ़ाइलें हैं:
   • asset_tags.csv : संपत्ति ip/domain/cidr और संबंधित टैग के बारे में जानकारी। डिफ़ॉल्ट फ़ाइल में इंट्रानेट IP और DNS सर्वरों के लिए कुछ उदाहरण हैं।
   • asset_vulnerabilities.csv : प्रत्येक संपत्ति के लिए CVE ID और शीर्ष CVSS स्कोर मान का विवरण।
   • indicators.csv : प्रकार, मान, गंभीरता और खतरा प्रकार विशेषताओं वाला IOC डेटा।
3. चरण (2) में उल्लिखित सभी 3 फ़ाइलों को या तो मैन्युअल रूप से संपादित किया जा सकता है या भेद्यता और संकेतक फ़ाइलों को निर्यात किए गए MISP और Tenable Nessus स्कैन रिपोर्ट का उपयोग करके उत्पन्न किया जा सकता है। निर्यात की गई फ़ाइलों को निम्नलिखित फ़ोल्डरों में सटीक नाम के साथ रखना होगा:
   • data/raw_reports/misp.csv : यह फ़ाइल MISP से निम्नलिखित स्थान से निर्यात की जा सकती है: Export->CSV_Sig->Generate फिर Download

• data/raw_reports/nessus.csv : यह फ़ाइल tenable nessus इंटरफ़ेस से निर्यात की जा सकती है। Scans->Scan Results->नवीनतम पूर्ण स्कैन प्रविष्टि चुनें। ड्रॉपडाउन से Vulnerability Detail List चुनें।

फिर Options->Export as CSV->Select All->Submit पर जाएं। डाउनलोड की गई फ़ाइल का नाम nessus.csv रखें और इसे raw_reports/nessus.csv में कॉपी करें।

5. यदि आप MISP के बजाय ThreatStream से डेटा डाउनलोड करने की योजना बना रहे हैं, तो config.json फ़ाइल में उपयोगकर्ता नाम, api_key और फ़िल्टर प्रदान करें। हर बार जब आप पायथन स्क्रिप्ट चलाएंगे, तो यह threatstream से नवीनतम IOCs प्राप्त करने और उन्हें data/formatted_reports/indicators.csv फ़ाइल में संग्रहीत करने का प्रयास करेगा।

6. यदि आप विंडोज पर हैं तो wft.exe चलाएं, अन्यथा अद्यतन रिपोर्ट फ़ाइलों को स्थापित और/या बदलने के लिए Mac या Ubuntu पर 'python wft.py' चलाएं। स्क्रिप्ट स्वचालित रूप से Wireshark स्थापना स्थान ले लेगी। यदि आपने कस्टम पथ पर Wireshark स्थापित किया है या Wireshark Portable App का उपयोग कर रहे हैं, तो आप कमांड लाइन तर्क के रूप में स्थान प्रदान कर सकते हैं। उदा. Portable App का उपयोग करते समय, स्थान कुछ इस तरह दिखेगा 'C:\Downloads\WiresharkPortable\Data'

7. स्थापना के बाद, Wireshark खोलें और Edit->Configuration Profiles पर जाएं और wireshark forensic toolkit प्रोफ़ाइल चुनें। यह सभी अतिरिक्त कॉलम सक्षम करेगा।

8. अब Wireshark को पुनः लॉन्च करें, या तो कोई PCAP फ़ाइल खोलें या लाइव कैप्चर प्रारंभ करें। खोज फ़िल्टर में आप अतिरिक्त फ़िल्टरिंग पैरामीटर का उपयोग कर सकते हैं, प्रत्येक 'wft' से शुरू होता है। Wireshark उपलब्ध सभी फ़िल्टरिंग पैरामीटर के लिए ड्रॉपडाउन दिखाएगा। ध्यान दें कि ये सभी अतिरिक्त फ़िल्टरिंग पैरामीटर स्रोत और गंतव्य IP/डोमेन मानों दोनों के लिए उपलब्ध हैं।

उपलब्ध फ़िल्टर की सूची

ध्यान दें कि ये सभी विकल्प गंतव्य के लिए भी उपलब्ध हैं, बस 'wft.src' को 'wft.dst' से बदलें।

• wft.src.domain (पिछले DNS ट्रैफ़िक का उपयोग करके स्रोत डोमेन रिज़ॉल्यूशन)
• wft.src.detection (IOC डेटा का उपयोग करके स्रोत IP/डोमेन का पता लगाना)
• wft.src.severity (IOC डेटा का उपयोग करके स्रोत IP/डोमेन का पता लगाने की गंभीरता)
• wft.src.threat_type (IOC डेटा का उपयोग करके स्रोत IP/डोमेन खतरा प्रकार की गंभीरता)
• wft.src.tags (स्रोत IP/डोमेन संपत्ति टैग)
• wft.src.os (भेद्यता रिपोर्ट में निर्दिष्ट स्रोत IP/डोमेन ऑपरेटिंग सिस्टम)
• wft.src.cve_ids (स्रोत IP/डोमेन के लिए अल्पविराम से अलग की गई CVE ID की सूची)
• wft.src.top_cvss_score (किसी दिए गए होस्ट के लिए सभी CVE ID में से शीर्ष CVSS स्कोर)

LICENSE:

यह कार्य क्रिएटिव कॉमन्स एट्रिब्यूशन-नॉनकमर्शियल-शेयरअलाइक 4.0 इंटरनेशनल लाइसेंस के तहत लाइसेंस प्राप्त है।