Sniffer
aus Wikipedia, der freien Enzyklopädie
 |
Dieser Artikel oder Abschnitt bedarf einer Überarbeitung. Näheres ist auf der Diskussionsseite angegeben. Hilf bitte mit, ihn zu verbessern, und entferne anschließend diese Markierung. |
Ein Sniffer (engl. „to sniff“ für riechen, schnüffeln) ist eine Software, die den Datenverkehr eines Netzwerks empfangen, aufzeichnen, darstellen und ggf. auswerten kann. Es handelt sich also um ein Werkzeug der LAN-Analyse.
Inhaltsverzeichnis |
[Bearbeiten] Herkunft des Begriffs
„Sniffer“ ist ein eingetragenes Warenzeichen des Herstellers Network General; es bezeichnet ein Produkt der sogenannten LAN-Analyse. Da dieses Produkt als eines der ersten auf dem Markt war, und da sein Name so eingängig ist, hat sich der Name „Sniffer“ allgemein durchgesetzt zur Bezeichnung vielfältigster Produkte der LAN-Analyse, ist also inzwischen auch als Gattungs-Begriff gebräuchlich.
[Bearbeiten] Technik
Ein Sniffer kennt den so genannten non-promiscuous mode und den Promiscuous Mode. Im non-promiscuous mode wird der ankommende und abgehende Datenverkehr des eigenen Computers „gesnifft“. Im Promiscuous Mode sammelt der Sniffer den gesamten Datenverkehr an die in diesen Modus geschaltete Netzwerkschnittstelle. Es werden also nicht nur die an ihn adressierten Frames empfangen, sondern auch die nicht an ihn adressierten. Der Adressat eines Frames wird in Ethernet-Netzwerken anhand der MAC-Adresse festgelegt.
Weiterhin ist es von der Netzwerkstruktur abhängig, welche Daten ein Sniffer sehen kann. Werden die Computer mit Hubs verbunden, kann sämtlicher Traffic von den anderen Hosts mitgeschnitten werden. Wird ein Switch verwendet, ist nur wenig oder gar kein Datenverkehr zu sehen, der nicht für das sniffende System selbst bestimmt ist. Allerdings gibt es in diesem Fall mehrere Möglichkeiten wie z. B. ARP-Spoofing, ICMP Redirects, DHCP Spoofing oder MAC-Flooding, um trotzdem die Frames empfangen zu können. Ein Switch darf also nicht als Sicherheitsfeature gesehen werden.
Es gibt mehrere Gründe, einen Sniffer zu benutzen:
- Diagnose von Netzwerkproblemen
- Eindringungsversuche entdecken (Intrusion Detection Systems)
- Netzwerktraffic-Analyse und Filterung nach verdächtigem Inhalt
- Datenspionage
[Bearbeiten] Bekannte Sniffer-Produkte und ihre Einordnung
(Produkt-Übersicht: siehe unten)
Seit Ende der 1980er Jahre gibt es LAN-Analyzer, allgemein als „Sniffer“ bekannt (benannt nach dem ältesten und lange am weitesten verbreiteten Produkt). Daher wird im Umfeld der LAN-Analyse oft allgemein vom „Sniffer-Einsatz“ gesprochen, ohne dass damit konkret das gleichnamige Produkt gemeint sein müsste, sondern eben lediglich irgendein Produkt dieser Gattung.
Allgemein wird unterschieden zwischen:
- Local Analyzer ↔ Remote Analyzer / Distributed Analyzer – Local Analyzer sind klassische PC-Programme. Remote Analyzer sind in fernen LAN-Segmenten stehende Agenten, die von einer zentralen Station angesteuert werden - wie im Netzwerk-Management-Bereich lange schon üblich. Man spricht dann von Distributed Analysis. In stark durch Switching/Routing segmentierten Netzwerken ist diese Art der Analyse letztlich unverzichtbar.
- Hardware Analyzer ↔ Software Analyzer – Wurde bis Mitte der 1990er Jahre noch sehr stark auf Hardware-Analyzer gesetzt, haben sich heute weitgehend Software-Analyzer durchgesetzt, die auf PC-Basis arbeiten. Zwar ist in Hochleistungs-Netzwerken der Einsatz von Hardware-Analyzern weiterhin unverzichtbar; ihre hohen Kosten, die gegenüber Software-Analyzern mäßige Entwicklungsgeschwindigkeit sowie das Kapital-Risiko für den Fall von Fehlern haben die Kundschaft jedoch dazu übergehen lassen, nur dort Hardware einzusetzen, wo sie wirklich völlig unentbehrlich ist. Die Folge ist, dass kaum noch Hersteller von Hardware-Analyzern am Markt tätig sind.
- Commercial Analyzer ↔ Non-Commercial („Open-Source“) Analyzer – Bis Ende der 1990er Jahre hat es praktisch nur proprietäre Analyzer gegeben. Dies hat sich mit Wireshark (ehemals Ethereal) ab 1998 nach und nach geändert.
[Bearbeiten] Entwicklungsgeschichte
Bis Ende der 90er Jahre waren die Anwender praktisch vollständig auf kommerzielle Produkte angewiesen. Deren Mangel war weniger, dass sie Geld kosteten, sondern vielmehr, dass die Hersteller am Markt vorbei arbeiteten und wichtige Bedürfnisse nicht oder zu spät erkannten. Die Folge war, dass Anwender zur Selbsthilfe griffen (siehe Wireshark). Die Folge ist eine Krise vieler kommerzieller Hersteller.
Seit ca. 2002 hat die Akzeptanz und Verbreitung des GPL-Analyzers Wireshark (früher Ethereal) immens zugenommen. Dies liegt nicht nur darin begründet, dass diese Software via Internet kostenfrei bezogen werden kann; es liegt erheblich auch an der Mächtigkeit, der Entwicklungsgeschwindigkeit und am Praxisbezug. Noch Ende der 90er Jahre waren rund zehn bedeutende kommerzielle Hersteller von LAN-Analyzern weltweit am Markt tätig (kleinere nicht mitgerechnet); inzwischen ist die Zahl der nennenswerten Hersteller auf rund fünf gesunken.
Der überaus großen Programmierergemeinde, die Wireshark inzwischen an sich binden konnte, kann auf der Seite der meisten kommerziellen Hersteller nichts mehr entgegen gesetzt werden. Außerdem beteiligen sich inzwischen große Unternehmen, die eigene LAN-Protokolle verwenden, an der Entwicklung. Dass Wireshark eine offene Plattform ist, hilft beispielsweise Siemens, die eigenen Protokolle der Maschinensteuerung oder der Medizintechnik analysieren zu können.
Möglicherweise entwickelt sich langfristig eine Arbeitsteilung, dass die Open-Source-Landschaft eher Software liefert, während die kommerziellen Hersteller auf leistungsfähige Hardware zielen, die im High-End-Bereich unerlässlich ist und naturgemäß von Open-Source-Projekten nicht geliefert werden kann. So hat der Hersteller Wildpackets (USA), als das Programm Wireshark noch Ethereal hieß, eine offizielle Übereinkunft mit Ethereal Inc. getroffen, um die Protocol-Decodes von Ethereal in den Wildpackets-Produkten (Etherpeek, Gigapeek, Omnipeek) einbinden zu können (was inzwischen funktioniert).
Die vier Hersteller, die LAN-Analyzer mit leistungsfähiger Hardware liefern können, sind (Stand: 2007) Netscout durch die Übernahme von Network General (Sniffer), Network Instruments (Observer) und WildPackets (EtherPeek NX, OmniPeek) und die deutsche Firma Consistec mit seinen PA2010e-Lösungen als interessante Nischenlösung für Telekom-Netzbetreiber, die sich eines modifizierten Ethereals/Wiresharks auf eigener Hardware bedienen. Weitgehend zurück gezogen bzw. auf dem Markt in Europa inzwischen eher bedeutungslos geworden sind die Hersteller Agilent (Hewlett-Packard), Acterna (Wavetec-Wandel-Goltermann) und Siemens (dessen Hardware-Analyzer K1100 in den 90er Jahren eingestellt wurde; inzwischen engagiert sich Siemens im Wireshark-Umfeld)
Es scheint also, dass „Commercial Analyzer“ und „Non-Commercial (Open-Source) Analyzer“ sich mit der Zeit verzahnen werden, sich ergänzen werden, auf einander angewiesen sein werden.
Einen weiteren Hinweis in diese Richtung zeigt der folgende Abschnitt.
[Bearbeiten] Experten-Systeme
Ein Charakteristikum aller Produkte ist, dass der Bearbeiter in der Regel über weit fortgeschrittene Kenntnisse verfügen muss, um Protokoll-Abläufe und Protokoll-Fehler erkennen und sicher bewerten zu können. Spätestens, wenn es um Haftungsfragen geht, müssen die Aussagen letztlich auch gerichtlicher bzw. gutachterlicher Überprüfung standhalten können, müssen also zweifelsfrei sein. Nur wenige Spezialisten sind in der Lage, dieses Niveau zu liefern. Dieses Nadelöhr stellt ein Problem an sich dar.
Die Versuche, über Expertensysteme diesen Engpass zu überwinden, haben zwar große Fortschritte bewirkt, konnten aber nur sehr begrenzt erreichen, dass auch Laien sich selbst wirkungsvoll helfen konnten.
[Bearbeiten] Produkt-Übersicht
Wichtige Produkte der LAN-Analyse in alphabetischer Reihenfolge:
Freie Produkte:
Proprietäre Produkte:
- Clearsight Analyzer (Clearsight Networks)
- EtherPeek, OmniPeek, GigaPeek (WildPackets)
- LANdecoder32 (Triticom)
- NetSpector (INAT)
- NetVCR (Niksun)
- NetworkActiv PIAFCTM
- Observer (Network Instruments)
- OptiView (Fluke Networks)
- Sniffer (Network General)
- TraceCommander (Synapse Networks)
- webSensor und webProbe (Moniforce)
[Bearbeiten] Siehe auch
[Bearbeiten] Weblinks
- http://www.easy-network.de/sniffer.html Aufbau, Funktionsweise und Schutzmaßnahmen gegen einen Sniffer
- http://www.ietf.org/rfc/rfc1761.txt IETF Request for Comments Nr. 1761
