PcapXray

Uno strumento di network forensics — visualizza file PCAP o traffico live come diagramma di rete annotato con identificazione dei dispositivi, classificazione dei protocolli, rilevamento Tor e segnalazione di traffico malevolo.

Panoramica dei moduli

graph TD
    UI[user_interface.py\nGUI controller] --> PR[pcap_reader\nFile + Live capture]
    PR --> ENG[engines/\nauto · dpkt · scapy · pyshark]
    PR --> MEM[(memory.py\nShared state)]
    MEM --> CDF[communication_details_fetch\nDNS · whois]
    MEM --> DDF[device_details_fetch\nOUI vendor lookup]
    MEM --> TTH[tor_traffic_handle\nTor consensus]
    MEM --> MTI[malicious_traffic_identifier\nHeuristic flags]
    MEM --> SS[sqlite_store\nSession persistence]
    MEM --> PLN[plot_lan_network\nGraphviz PNG + pyvis HTML]
    UI --> IG[interactive_gui\nMatplotlib panel]
    IG --> MEM
    PLN --> OUT[Reports + Diagrams]

Specifiche di progettazione

Obiettivo

Dato un file PCAP o un'interfaccia di rete live, tracciare un diagramma di rete che mostri host, flussi di traffico, comunicazioni importanti/Tor/malevole e i dati coinvolti in ogni sessione.

Problema

• L'investigazione di un file PCAP richiede molto tempo a causa della difficoltà iniziale di avviare l'analisi
• Affrontato da ogni investigatore forense e da chiunque analizzi il traffico di rete

Soluzione: velocizzare il processo di investigazione

Realizzare un diagramma di rete con le seguenti caratteristiche:

Punti salienti dello strumento:

• Diagramma di rete — diagramma riassuntivo dell'intera rete
• Traffico web con dettagli del server
• Rilevamento traffico Tor
• Segnalazione di possibile traffico malevolo
• Dati ottenuti dai pacchetti nel report — dispositivi/traffico/payload
• Dettagli del dispositivo — OUI vendor, risoluzione hostname, whois
• Cattura traffico live con aggiornamenti del grafico in tempo reale
• Grafico interattivo — HTML pyvis per esplorazione nel browser
• Persistenza delle sessioni — cache SQLite per ricaricare senza rianalisi

Screenshot

Pannello principale dell'applicazione

Grafico di rete statico — layout naturale con zoom adattivo

Demo

Setup

Requisiti: Python 3.10+

Linux (Ubuntu/Debian)

sudo apt-get update
sudo apt-get install -y python3-tk graphviz tshark
pip3 install -r requirements.txt
sudo python3 Source/main.py

Se si usa una versione specifica di Python (3.11, 3.12), sostituire python3-tk con python3.11-tk o python3.12-tk. Installare Pillow solo tramite pip — non installare python3-pil da apt poiché entra in conflitto.

macOS

brew install graphviz
pip3 install -r requirements.txt
sudo python3 Source/main.py

sudo è necessario per la cattura live. L'analisi dei file funziona senza.

Utilizzo

Analisi dei file

1. Inserire o cercare un file .pcap / .pcapng
2. Scegliere la directory di output
3. Selezionare il motore (default: auto)
4. Cliccare Analizza!
5. Cliccare Visualizza! per generare il diagramma di rete
6. Cliccare Grafico interattivo per aprire l'HTML pyvis nel browser
7. Cliccare Pannello grafico per aprire la vista interattiva matplotlib

Cattura live

1. Selezionare l'interfaccia di rete dal menu a discesa
2. Cliccare ▶ Avvia live (richiede sudo / root)
3. Il pannello del grafico si apre e si aggiorna ogni 4 secondi
4. Cliccare ⏹ Stop per terminare la cattura — esegue il rilevamento di canali nascosti dopo la cattura
5. Cliccare Visualizza! per generare un'istantanea statica puntuale

Motori PCAP

PcapXray supporta quattro backend di parsing intercambiabili selezionabili dalla barra degli strumenti:

Componenti

• Diagramma di rete — PNG renderizzato con graphviz della topologia LAN completa
• Dettagli dispositivo/traffico e analisi — payload per sessione, record TLS, query DNS
• Identificazione traffico malevolo — segnalazione basata su euristica di porte e domini
• Traffico Tor — download del consenso + corrispondenza sessioni
• Cattura live — AsyncSniffer con grafico matplotlib in tempo reale, aggiornamento ogni 4 secondi
• GUI — Interfaccia Tkinter con opzioni di filtro, zoom e controlli delle sessioni

Librerie Python

Tutte le dipendenze sono in requirements.txt — installare con pip3 install -r requirements.txt. Tkinter è l'unica libreria non su PyPI — installarla tramite il gestore pacchetti di sistema (python3-tk su Linux, incluso con Python su macOS).

Sviluppo e architettura

Vedere DEV.md per la documentazione completa dell'architettura, diagrammi di flusso delle chiamate, responsabilità dei moduli, modello di threading e come aggiungere un nuovo motore.

Sicurezza

Vedere SECURITY.md per la divulgazione responsabile, la postura di sicurezza e le limitazioni note.

Test

# Suite veloce — nessuna chiamata di rete
pytest -m "not network" Test/

# Suite completa inclusi DNS reale e Tor
pytest Test/

# Ambienti motore isolati
tox
tox -e all-engines

96+ test su Python 3.10, 3.11, 3.12.

Informazioni aggiuntive

• Testato su macOS e Linux
• Opzioni di filtro traffico: Tutto, HTTP, HTTPS, Tor, Malevolo, ICMP, DNS
• Presentato a DEF CON 27 Demo Labs

Limitazioni note

• Ripristino minimizza su macOS — cliccando l'icona del dock dopo la minimizzazione potrebbe non ripristinare la finestra a causa di un bug noto di Tk/Cocoa. Usare Cmd+Tab o clic destro sull'icona del dock → Mostra come soluzione alternativa.
• Catture grandi — l'uso della memoria scala con il numero di sessioni; PCAP molto grandi (1 GB+) potrebbero essere lenti. Usare il motore dpkt per prestazioni ottimali su file grandi.
• Privilegi cattura live — richiede root/sudo su tutte le piattaforme per l'accesso ai socket raw.

Futuro

• Più supporto protocolli (QUIC, HTTP/2, mDNS)
• Interfaccia web / motore eBPF
• Riscrittura in Go per prestazioni a livello PacketTotal

Crediti

• Professor Marc Budofsky
• Kevin Gallagher
• Tutti i contributori e gli autori delle librerie dipendenti
• Logo: logomakr.com + inkscape.org
• Presentato a DEF CON 27 Demo Labs

Solo per divertimento sulla sicurezza!