JA4+™ Сетевая идентификация

JA4+ — это набор методов сетевой идентификации от FoxIO, которые просты в использовании и удобны для обмена. Эти методы читаемы как человеком, так и машиной, что повышает эффективность поиска угроз и анализа. Варианты использования этих отпечатков включают сканирование на наличие злоумышленников, обнаружение вредоносного ПО, предотвращение перехвата сессий, автоматизацию соответствия требованиям, отслеживание местоположения, обнаружение DDoS-атак, группировку злоумышленников, обнаружение обратных оболочек и многое другое.

Для краткого объяснения JA4+ и использования в качестве справочника во время анализа см.:
JA4+ Cheat Sheet

Для получения подробной информации, пожалуйста, прочитайте наши блоги о том, как работает JA4+, почему он работает, и примеры того, что можно обнаружить/предотвратить с его помощью:
JA4+ Network Fingerprinting (JA4/S/H/L/X/SSH)
JA4T: TCP Fingerprinting (JA4T/TS/TScan)
Investigating Surfshark and NordVPN with JA4T (JA4T)
JA4D and JA4D6: DHCP Fingerprinting (JA4D/6)

Если вам нравится JA4+, подумайте о покупке футболки или худи:
JA4+ Shirts, Hoodies, and Stickers

Содержание

• Текущие методы и детали реализации
• Реализации
• Инструменты, поддерживающие JA4+
• Примеры
• Плагины
• Бинарные файлы
  • Ассеты релизов
  • Установка tshark
    • Linux
    • macOS
    • Windows
  • Запуск JA4+
• База данных
• Процесс выпуска
  • Как создать релиз
• Детали JA4+
• Лицензирование
• Вопросы и ответы
• JA4+ был создан

Текущие методы и детали реализации

Полное название	Короткое название	Описание
JA4	JA4	Идентификация TLS-клиента
JA4Server	JA4S	Идентификация TLS-ответа сервера / сессии
JA4HTTP	JA4H	Идентификация HTTP-клиента
JA4Latency	JA4L	Измерение задержки от клиента к серверу / световое расстояние
JA4LatencyServer	JA4LS	Измерение задержки от сервера к клиенту / световое расстояние
JA4X509	JA4X	Идентификация X509 TLS-сертификата
JA4SSH	JA4SSH	Идентификация SSH-трафика
JA4TCP	JA4T	Идентификация TCP-клиента
JA4TCPServer	JA4TS	Идентификация TCP-ответа сервера
JA4TCPScan	JA4TScan	Активный сканер TCP-отпечатков
JA4DHCP	JA4D	Идентификация DHCP
JA4DHCPv6	JA4D6	Идентификация DHCPv6
JA4NTP	JA4N	Идентификация NTP
JA4Scan-TLS	JA4Scan-TLS	Активный сканер TLS-отпечатков сервера
JA4Scan-QUIC	JA4Scan-QUIC	Активный сканер QUIC-отпечатков сервера

Полное или короткое название можно использовать взаимозаменяемо. Дополнительные методы JA4+ находятся в разработке...

Чтобы понять, как читать отпечатки JA4+, см. Технические детали

Реализации

Этот репозиторий включает JA4+ в

• Python
• Rust
• C, как плагин Wireshark.
• Zeek

Инструменты, поддерживающие JA4+