Netwerkverkeer: onschuldig of verdacht?
De leds op uw router of modem wijzen op netwerkverkeer, maar toch bent u zelf niet aan het surfen... Snel die kabel eruit of is er toch niks aan de hand? Hoe gaat u na welk netwerkverkeer 'verdacht' is
De leds op uw router of modem wijzen op netwerkverkeer, maar toch bent u zelf niet aan het surfen... Snel die kabel eruit of is er toch niks aan de hand? Hoe gaat u na welk netwerkverkeer 'verdacht' is
Stap 1
[afbeelding2]Vreemd, u bent rustig wat aan het tekstverwerken, maar toch knipperen de leds op uw router, switch of modem alsof het Kerstmis is. Snel toch even checken of uw pc iets met dat netwerkverkeer te maken heeft. Roep het Windows Taakbeheer op (via Ctrl + Shift + Esc) en ga naar het tabblad Netwerk. U krijgt hier real time het procentuele gebruik van uw netwerkverbinding te zien. Er blijkt inderdaad activiteit op uw netwerkadapter. De vraag is nu: gaat het om bonafide netwerkverkeer en welke programma's of services zijn daarvoor verantwoordelijk? Precies deze vragen helpen we u beantwoorden in deze workshop, weliswaar met behulp van enkele gratis tools. We beginnen 'voorzichtig' en dalen geleidelijk dieper af in de mysteries van het netwerkverkeer...
Stap 2
[afbeelding1]Een handig tooltje om na te gaan welke programma's er datapakketjes versturen of ontvangen, is NetLimiter 2 Monitor (www.netlimiter.com). Na installatie start u het programma en dubbelklikt u op het nieuwe pictogram, rechts op de taakbalk van Windows. Selecteer bovenaan Internet (bij Zone) - tenzij u meer interesse zou hebben in het netwerkverkeer binnen uw eigen thuisnetwerkje, in welk geval u Local Network kiest. Zodra de tool 'beweging' opmerkt in uw netwerkadapter, leest u bovenaan meteen de download- en/of uploadsnelheid (per seconde) van de datatransfers af, waarbij u zelf de eenheid instelt (B, KB, MB, enz).
Stap 3
[afbeelding3]Maar er is méér. Surf bij wijze van test maar even naar www.computeridee.nl, waarbij u NetLimiter geopend laat. In het hoofdvenster verschijnt nu de naam van uw browser en als u het plusje naast Process (x) aanklikt, krijgt u de verschillende ip-adressen (met het bijhorende poortnummer) te zien die uw browser heeft aangeroepen. Op dezelfde manier kunt u ook meer details opvragen van andere toepassingen en services die een verbinding met het internet hebben opgezet. Is het niet meteen duidelijk om welk programma het precies gaat, klik het item dan met de rechtermuisknop aan en kies Show Application Name, Full path. Ook nuttig: als u zo'n ip-adres intikt bij een service als www.samspade.org, krijgt u meer informatie over wie achter zo'n adres schuilgaat. NetLimiter houdt bovendien een historisch overzicht bij van hoeveel verkeer elk item al heeft gegenereerd; klik het opnieuw met de rechtermuisknop aan en kies Show Stats.
Stap 4
[afbeelding4]Wilt u nog meer details over de precieze aard van zo'n internetverbinding, dan bent u op een meer geavanceerde tool als CurrPorts aangewezen: www.nirsoft.net/utils/cports.html. Download het zip-bestand en pak het uit. Het bestand met de Nederlandstalige vertaling (bij 'Dutch') downloadt u eveneens en pakt u in dezelfde map uit. En nu u toch op de Nirsoft-site bent, download tevens IPNetInfo en de bijhorende vertaling, en pak beide zips op hun beurt uit. Start nu eerst IPNetInfo op (sluit het venster IP-adressen selecteren, maar houd het hoofdvenster geopend) en voer vervolgens CurrPorts uit. U krijgt dadelijk alle mogelijke details over de geopende netwerkverbindingen te zien. Naast het gebruikte protocol verneemt u onder meer nog de ip-adressen en poorten van de connectie, de status van de verbinding, het programma dat de verbinding heeft opgezet en de bijhorende bestandsnaam. Deze informatie is statisch, maar via Opties, Automatisch vernieuwen kunt u een verversingsfrequentie tot minimaal één seconde instellen, zodat u de informatie met minimale vertraging krijgt.
Stap 5
[afbeelding5]Het kan ook gebeuren dat u van een bepaalde toepassing wilt weten voor welk netwerkverkeer die precies verantwoordelijk is. Ook daar heeft CurrPorts een oplossing voor: in de werkbalk treft u een viziericoontje aan dat u maar hoeft te verslepen naar het beoogde programmavenster. Zodra u dit loslaat, maakt CurrPorts een filter voor de getoonde resultaten - klik het filter-icoon aan om de filterregels te bekijken - zodat u alleen de connecties van dat programma te zien krijgt. Klik op het icoontje Alle filters verwijderen om weer alle verbindingen te zien. Wilt u een bepaalde verbinding nader bekijken, selecteer die dan en druk op Alt + Enter. Om uit te vissen wie achter een ip-adres (in de kolom NIC) schuilt, klikt u het item met de rechtermuisknop aan en kiest u IPNetInfo. Ook het poortnummer (in de kolom Netwerkpoort) kan een indicatie zijn van eventuele malware. Zo vindt u op www.seifried.org/security/ports en www.iss.net/security_center/advice/Exploits/Ports/default.htm een overzicht van dit poortgebruik. Hoed u echter voor paniek: als uw pc (toevallig?) een poortnummer gebruikt dat bijvoorbeeld erg in trek is bij een Trojaans paard, betekent dit niet automatisch dat het netwerkverkeer op die poort kwaadaardig is.
Stap 6
[afbeelding6]Stel, een controle met NetLimiter of CurrPorts/IPNetInfo heeft u aan het twijfelen gebracht. Kon u nu toch maar binnenin de datapakketjes van de verdachte netwerkbindingen kijken! Wat had u gedacht: met de juiste tools kan dat probleemloos. Wat u nodig hebt, is een zogenoemde netwerksniffer. Een van de betere is zonder twijfel WireShark (het vroegere Ethereal), op www.wireshark.org. Download en installeer de tool; tijdens de installatie laat u de standaardinstellingen best ongemoeid - laat bijvoorbeeld ook WinPcap mee installeren (dat is nodig om live netwerkdata te kunnen opvangen). Start na installatie het programma. Open het menu Capture en kies Options. Selecteer via het pijltje bij Interface de juiste netwerkkaart (die verbinding geeft naar uw router en/of het internet - dat kan eventueel ook uw draadloze adapter zijn). Laat bij voorkeur het vinkje staan bij Capture packets in promiscuous mode en druk op Start. Al het netwerkverkeer op die adapter wordt nu automatisch in chronologische volgorde opgesomd, tot wanneer u via het menu Capture weer op Stop drukt.
Stap 7
[afbeelding7]Al die gegevens zijn natuurlijk alleen zinvol als u ze min of meer weet te interpreteren. Een lastige klus, want daarvoor is toch wel enige kennis van netwerkprotocollen vereist. Meer dan een voorzichtige aanzet kunt u hier dus niet echt verwachten. Om u toch een idee van de mogelijkheden te geven, tonen we u hoe u het wachtwoord van een e-mailprogramma als Outlook (Express) in leesbare vorm te zien krijgt op het moment dat het naar uw provider wordt gestuurd. Start Outlook (Express) op en maak WireShark klaar om alle netwerkverkeer op die adapter op te vangen. Vervolgens controleert u uw online mailbox met Outlook (Express), waarna u het capture-proces meteen weer kunt stopzetten. Aangezien het hier (vermoedelijk) om het pop-protocol gaat (Post Office Protocol), tikt u in WireShark helemaal bovenaan, bij Filter het woord pop in. U krijgt nu alleen het dataverkeer voor het gevraagde protocol te zien. Ergens in de kolom Info ziet u nu wellicht iets staan als Request: PASS 123456 - waarbij 123456 niks anders is dan... uw wachtwoord in leesbare vorm! Uiteraard kunt u met WireShark nu ook tal van andere pakketjes en protocollen analyseren en wie weet, ontmaskert u op die manier wel een stukje malware dat persoonlijke informatie naar buiten tracht(te?) te sluizen!
Deze workshop komt uit Computer Idee nummer 16, jaargang 2009.