JA4+™ Сетевое снятие отпечатков

JA4+ — это набор методов сетевого снятия отпечатков от FoxIO, которые просты в использовании и удобны для обмена. Эти методы читаемы как человеком, так и машиной, что способствует более эффективному поиску угроз и анализу. Сценарии использования этих отпечатков включают поиск злоумышленников, обнаружение вредоносного ПО, предотвращение перехвата сессий, автоматизацию соответствия требованиям, отслеживание местоположения, обнаружение DDoS-атак, группировку злоумышленников, обнаружение обратных оболочек и многое другое.

Для краткого объяснения JA4+ и использования в качестве справочного материала во время анализа см.:
JA4+ Шпаргалка

Подробную информацию о том, как работает JA4+, почему это работает, а также примеры того, что можно обнаружить/предотвратить с его помощью, читайте в наших блогах:
JA4+ Сетевое снятие отпечатков (JA4/S/H/L/X/SSH)
JA4T: Снятие отпечатков TCP (JA4T/TS/TScan)
Исследование Surfshark и NordVPN с помощью JA4T (JA4T)

Если вам нравится JA4+, подумайте о покупке футболки или толстовки:
Футболки, толстовки и наклейки JA4+

Содержание

• Текущие методы и детали реализации
• Реализации
• Инструменты, поддерживающие JA4+
• Примеры
• Плагины
• Бинарные файлы
  • Ассеты релиза
  • Установка tshark
    • Linux
    • macOS
    • Windows
  • Запуск JA4+
• База данных
• Процесс релиза
  • Как создать релиз
• Детали JA4+
• Лицензирование
• Вопросы и ответы
• JA4+ был создан

Текущие методы и детали реализации

Полное или краткое название можно использовать взаимозаменяемо. Дополнительные методы JA4+ находятся в разработке...

Чтобы понять, как читать отпечатки JA4+, см. Технические детали

Реализации

Этот репозиторий включает JA4+ в

• Python
• Rust
• C, в виде плагина Wireshark.
• Zeek

Инструменты, поддерживающие JA4+

и другие будут объявлены...

Примеры

Больше примеров см. в ja4plus-mapping.csv
Полная база данных: ja4db.com

Плагины

Wireshark
Zeek
Arkime

Бинарные файлы

Бинарные файлы JA4 собираются из Rust-реализации набора. Для полной функциональности требуется tshark (версия 4.0.6 или новее). Загрузите последние бинарные файлы JA4 со страницы Релизов. Версии релизов для Rust-реализации следуют Семантическому версионированию и помечаются как vX.Y.Z, в отличие от релизов плагинов Wireshark.

Ассеты релиза

Ассеты релиза именуются в соответствии с компонентом и платформой:

• Rust:
  • ja4-vX.Y.Z-<архитектура>-<платформа>.tar.gz (например, ja4-v0.18.5-x86_64-unknown-linux-musl.tar.gz)
• Python:
  • ja4-python-vX.Y.Z.tar.gz (содержит полную директорию python/)
• Wireshark:
  • ja4.so.linux, ja4.so.macos, ja4.dll (прикреплены к релизу с именем вида wireshark-vX.Y.Z)

Выберите подходящий файл для вашей системы и компонента.

Установка tshark

Linux

Установите с помощью вашего менеджера пакетов (имя пакета tshark или wireshark-cli зависит от дистрибутива). Например, на Ubuntu:

sudo apt install tshark

macOS

1. Скачайте и установите Wireshark (включает tshark).
2. Добавьте tshark в ваш PATH:
   root@kitploit:~

   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark
   

Windows

1. Скачайте и установите Wireshark (включает tshark.exe).
2. Найдите tshark.exe (обычно в C:\Program Files\Wireshark\tshark.exe).
3. Добавьте папку, содержащую tshark.exe, в системную переменную PATH:
   • Откройте Свойства системы > Переменные среды > Изменить Path.

Запуск JA4+

После установки tshark и бинарных файлов JA4+, запустите JA4+ с помощью следующей команды:

• На Linux и macOS:
  root@kitploit:~

  ./ja4 [опции] [pcap]
  

• На Windows откройте Командную строку и выполните:
  root@kitploit:~

  ja4 [опции] [pcap]
  

Подробнее о запуске JA4+ и его расширенных настройках см. в README Rust-реализации, где представлена информация о её функциях, сценариях использования и вариантах настройки.

База данных

Официальная база данных отпечатков JA4+, связанных приложений и рекомендуемой логики обнаружения находится здесь: ja4db.com
Эта база данных находится в очень активной разработке. В ближайшие месяцы ожидайте на порядки больше комбинаций отпечатков и данных.

Образец ja4plus-mapping.csv также доступен для быстрой справки.

Процесс релиза

JA4+ использует GitHub Actions для автоматизации релизов для своих компонентов Rust, Python, Wireshark и Zeek. Релизы создаются путём отправки тега с определённым префиксом в репозиторий, за исключением Zeek, который использует тег чистого семантического версионирования (semver). Ассеты релиза именуются следующим образом:

• Rust: ja4-vX.Y.Z-<архитектура>-<платформа>.tar.gz
• Python: ja4-python-vX.Y.Z.tar.gz
• Wireshark: ja4.so.linux, ja4.so.macos, ja4.dll (в релизе с именем вида wireshark-vX.Y.Z)

Доступны следующие рабочие процессы:

• Релиз Rust:
  Отправьте тег, начинающийся с rust-, например rust-v0.18.5, чтобы запустить релиз бинарных файлов Rust. Рабочий процесс автоматически соберёт и загрузит ассеты релиза.

• Релиз Python:
  Отправьте тег, начинающийся с python-, например python-v0.1.0, чтобы запустить релиз Python-реализации. Рабочий процесс создаст tarball директории python/ и опубликует его как ассет релиза.

• Релиз плагина Wireshark:
  Отправьте тег, начинающийся с wireshark-, например wireshark-v0.1.1, чтобы запустить релиз бинарных файлов плагина Wireshark для всех поддерживаемых платформ.

• Релиз Zeek:
  Отправьте тег, который является чистым семантическим версионированием (например, v1.2.3), без префикса, чтобы запустить релиз Zeek. Это автоматически создаст релиз на packages.zeek.org.

Как создать релиз

1. Убедитесь, что ваши изменения объединены в ветку main.

2. Создайте и отправьте тег для компонента, который вы хотите выпустить:

   • Для Rust, Python или Wireshark используйте соответствующий префикс (например, rust-v0.18.5, python-v0.1.0, wireshark-v0.1.1).
   • Для Zeek используйте тег чистого semver (например, v1.2.3).

   Пример:

   root@kitploit:~

   git tag v1.2.3
   git push origin v1.2.3
   

   (Для Zeek)

   Или для Rust:

   root@kitploit:~

   git tag rust-v0.18.5
   git push origin rust-v0.18.5
   

3. Соответствующий рабочий процесс GitHub Actions запустится и автоматически опубликует ассеты релиза. Для Zeek релиз появится на packages.zeek.org.

Детали JA4+

JA4+ — это набор простых, но мощных сетевых отпечатков для нескольких протоколов, которые читаемы как человеком, так и машиной, что способствует улучшению поиска угроз и анализа безопасности. Если вы не знакомы с сетевым снятием отпечатков, я рекомендую прочитать мои блоги о выпуске JA3 здесь, JARM здесь и отличный блог Fastly о Состоянии снятия отпечатков TLS, в котором описывается история вышеупомянутых методов и их проблемы. JA4+ обеспечивает выделенную поддержку, поддерживая методы в актуальном состоянии по мере изменения индустрии.

Все отпечатки JA4+ имеют формат a_b_c, разделяя различные секции, из которых состоит отпечаток. Это позволяет осуществлять поиск и обнаружение, используя только ab, ac или только c. Если кто-то хочет провести анализ только входящих cookie в своё приложение, он будет смотреть только на JA4H_c. Этот новый, сохраняющий локальность формат способствует более глубокому и богатому анализу, оставаясь при этом простым, лёгким в использовании и допускающим расширение.

Например, GreyNoise — это интернет-слушатель, который идентифицирует интернет-сканеры и внедряет JA4+ в свой продукт. У них есть злоумышленник, который сканирует интернет с постоянно изменяющимся одним TLS-шифром. Это генерирует огромное количество совершенно разных отпечатков JA3, но с JA4 меняется только часть b отпечатка JA4, а части a и c остаются теми же. Таким образом, GreyNoise может отслеживать злоумышленника, глядя на отпечаток JA4_ac (объединение a+c, опуская b).

Список методов JA4+ и их описания см. в разделе Текущие методы и детали реализации.

Чтобы понять, как читать отпечатки JA4+, см. Технические детали.

Лицензирование

JA4: Снятие отпечатков TLS-клиента является открытым исходным кодом, BSD 3-Clause, так же как JA3. FoxIO не имеет патентных претензий и не планирует подавать заявки на патент для JA4 TLS Client Fingerprinting. Это позволяет любой компании или инструменту, использующему в настоящее время JA3, немедленно перейти на JA4 без задержек.

JA4S, JA4L, JA4LS, JA4H, JA4X, JA4SSH, JA4T, JA4TS, JA4TScan и все будущие дополнения (совместно именуемые JA4+) лицензируются в соответствии с FoxIO License 1.1. Эта лицензия является разрешительной для большинства случаев использования, включая академические и внутренние деловые цели, но не является разрешительной для монетизации. Если, например, компания хочет использовать JA4+ внутри себя для обеспечения собственной безопасности, это разрешено. Если, например, вендор хочет продавать снятие отпечатков JA4+ как часть своего продукта, ему необходимо запросить у нас OEM-лицензию.

Все методы JA4+ находятся на рассмотрении патентной заявки.
JA4+ является торговой маркой FoxIO

JA4+ может и внедряется в инструменты с открытым исходным кодом, см. FAQ по лицензии для подробностей.

Эта лицензия позволяет нам предоставлять JA4+ миру открыто и сразу пригодным к использованию, но также даёт нам способ финансировать постоянную поддержку, исследования новых методов и разработку базы данных JA4+. Мы хотим, чтобы у всех была возможность использовать JA4+, и мы рады сотрудничать с вендорами и проектами с открытым исходным кодом, чтобы помочь этому случиться.

Вопросы и ответы

В: Почему вы сортируете шифры? Разве порядок не имеет значения?
О: Имеет, но в наших исследованиях мы обнаружили, что приложения и библиотеки чаще выбирают уникальный список шифров, чем уникальный порядок. Это также снижает эффективность «сужения шифров» (cipher stunting) — тактики рандомизации порядка шифров для предотвращения обнаружения JA3.

В: Почему вы сортируете расширения?
О: В начале 2023 года Google обновил Chromium, чтобы браузеры рандомизировали порядок расширений. Так же, как и сужение шифров, это была тактика предотвращения обнаружения JA3 и «сделать экосистему TLS более устойчивой к изменениям». Google беспокоился, что разработчики серверов могут предположить, что отпечаток Chrome никогда не изменится, и построить логику вокруг него, что вызовет проблемы при обновлении Chrome.

Поэтому я хочу прояснить: отпечатки JA4 будут меняться по мере обновления библиотек TLS приложений, примерно раз в год. Не предполагайте, что отпечатки останутся постоянными в среде, где приложения обновляются. В любом случае, сортировка расширений обходит это, а добавление алгоритмов подписи сохраняет уникальность.

В: Разве TLS 1.3 не усложняет снятие отпечатков TLS-клиентов?
О: Нет, это упрощает его! Начиная с TLS 1.3, клиенты имеют гораздо больший набор расширений, и хотя TLS 1.3 поддерживает лишь несколько шифров, браузеры и приложения по-прежнему поддерживают гораздо больше.

JA4+ был создан

Джоном Альтхаусом, с обратной связью от:

Джош Аткинс
Джефф Аткинсон
Джошуа Александер
W.
Джо Мартин
Бен Хиггинс
Эндрю Моррис
Крис Уэланд
Бен Скофилд
Маттиас Валлентин
Валерий Воротынцев
Тимоти Ноэль
Гэри Липски

Майкл Барбин

И инженеры, работающие в GreyNoise, Hunt, Google, ExtraHop, F5, Driftnet и других.

Свяжитесь с Джоном Альтхаусом по адресу [email protected] для лицензирования и вопросов.

_{JA4 и JA4+ являются торговыми марками FoxIO, Inc.
Copyright (c) 2025, FoxIO}