Напад њушкањем (енгл. sniffing attack) у контексту безбедности рачунарских мрежа представља неовлашћено пресретање, праћење и анализу података који се преносе преко мреже. Овај напад се изводи коришћењем специјализованог софтвера или хардвера познатог као анализатор пакета (енгл. packet sniffer). Уколико подаци нису шифровани, нападач може прочитати њихов садржај, што укључује осетљиве информације попут лозинки, бројева кредитних картица, пословних тајни и личне комуникације. Због своје прикривене природе, овај напад се често назива и „прислушкивањем” (енгл. wiretapping) мрежног саобраћаја.
Напади њушкањем представљају озбиљну претњу за поверљивост података и могу послужити као основа за даље, софистицираније нападе, попут напада ускраћивањем услуге (DoS) или крађе идентитета.
Принцип рада Анализатори пакета функционишу тако што пресрећу и декодирају податке на ниском нивоу мрежне комуникације. Да би ово било могуће, мрежни адаптер нападачевог уређаја мора бити постављен у посебан режим рада.
Промискуитетни режим Већина напада њушкањем захтева да се мрежна картица (Network Interface Card - NIC) нападачевог система постави у промискуитетни режим (енгл. promiscuous mode). У стандардном режиму, мрежна картица обрађује само пакете који су директно упућени њеној MAC адреси. Међутим, у промискуитетном режиму, картица прихвата и прослеђује оперативном систему све пакете које детектује на мрежном сегменту, без обзира на њихову одредишну адресу. Ово омогућава нападачу да „слуша” сав саобраћај у свом домену колизије (на hub мрежама) или на целом мрежном сегменту (у случају успешног напада на switch).
Хватање и анализа података Једном када су пакети ухваћени, софтвер за њушкање их анализира и декодира према структури мрежних протокола. Анализатори могу да прикажу садржај пакета на различитим слојевима OSI модела, од физичког до апликационог слоја. Нападач тако може видети нешифроване податке послате путем протокола као што су HTTP, FTP, Telnet, POP3 и SMTP. Ово укључује корисничка имена, лозинке, садржај е-поште и друге осетљиве информације.
Врсте напада њушкањем Напади њушкањем се деле на две главне категорије, у зависности од мрежне инфраструктуре и нивоа интеракције нападача.
Пасивно њушкање Пасивно њушкање (енгл. passive sniffing) подразумева праћење саобраћаја без слања додатних пакета у мрежу. Нападач је у овом случају потпуно невидљив и тешко га је детектовати. Ова врста напада је најефикаснија у мрежама које користе хабове, јер хаб прослеђује све долазне пакете свим портовима. Такође је изводљиво у бежичним мрежама, где се сав саобраћај емитује кроз ваздух и може бити ухваћен од стране било ког уређаја у домету.
Активно њушкање Активно њушкање (енгл. active sniffing) користи се у мрежама са свичевима (енгл. switches), који интелигентно усмеравају саобраћај само ка одређеном порту на основу MAC адресе. Да би пресрео саобраћај у оваквом окружењу, нападач мора активно да манипулише мрежом како би преусмерио пакете ка себи. Ове технике су бучније и могу бити детектоване, али су неопходне у модерним мрежама. Најчешће методе активног њушкања укључују:
ARP тровање (ARP Poisoning/Spoofing): Нападач шаље лажне ARP одговоре како би повезао своју MAC адресу са IP адресом друге мете (нпр. мрежног пролаза). Сав саобраћај намењен мети тада бива преусмерен на нападачев уређај.
MAC преплављивање (MAC Flooding): Нападач преплављује свичев CAM (Content Addressable Memory) табелу огромним бројем лажних MAC адреса. Када се табела напуни, свичу не преостаје ништа друго него да се понаша као хаб и шаље све пакете на све портове, омогућавајући нападачу пасивно њушкање.
DNS тровање (DNS Poisoning): Нападач пресреће DNS упите и враћа лажне одговоре, усмеравајући кориснике на злонамерне сервере. Ово му омогућава да пресретне сав саобраћај намењен легитимним сајтовима.
DHCP напади (DHCP Attacks): Нападач може поставити лажни DHCP сервер који клијентима додељује IP конфигурацију, постављајући себе као подразумевани мрежни пролаз (gateway) и DNS сервер, чиме сав саобраћај пролази кроз његов уређај.
Алати за њушкање Постоји велики број алата који се могу користити за нападе њушкањем. Неки су намењени легитимној анализи мреже, док су други дизајнирани за злонамерне активности.
Wireshark: Најпопуларнији и најмоћнији анализатор мрежних протокола. Има графички интерфејс и подржава анализу стотина протокола. Иако је легитиман алат, често се злоупотребљава.
tcpdump: Алат за командну линију који омогућава хватање и анализу TCP/IP пакета. Веома је флексибилан и доступан на већини Unix-like система.
Ettercap: Свеобухватан алат за извођење напада „човек у средини” (Man-in-the-Middle). Подржава активно и пасивно њушкање, ARP тровање и пресретање SSL конекција.
dSniff: Скуп алата дизајнираних за њушкање лозинки и других осетљивих информација из различитих апликационих протокола.
Cain and Abel: Алат за Windows платформу који, између осталог, омогућава њушкање мреже, ARP тровање и извлачење лозинки.
Ризици и последице Напади њушкањем носе значајне ризике за појединце и организације.
Крађа осетљивих података: Најдиректнија последица је крађа нешифрованих података, укључујући корисничка имена, лозинке, финансијске информације (бројеви кредитних картица, банковни подаци), личне поруке и пословне комуникације.
Корпоративна шпијунажа: У пословном окружењу, нападачи могу украсти пословне тајне, стратешке планове, податке о клијентима и интелектуалну својину, што може довести до значајних финансијских губитака и губитка конкурентске предности.
Крађа идентитета: Прикупљене личне информације могу се искористити за крађу идентитета и разне врсте превара.
Процена рањивости: Нападачи користе њушкање за прикупљање информација о мрежној топологији, активним сервисима и отвореним портовима, што им служи као припрема за даље, деструктивније нападе.
Убацивање злонамерног кода: У сценаријима активног њушкања, нападачи могу не само читати већ и мењати пакете у лету, убацујући злонамерни садржај у легитимни саобраћај.
Мере заштите и превенција Заштита од напада њушкањем захтева вишеслојни приступ који комбинује технологију, добру праксу и едукацију корисника.
1. Шифровање саобраћаја Најефикаснија мера заштите је шифровање података у транзиту. Чак и ако нападач успе да пресретне пакете, шифровани садржај ће му бити неупотребљив.
Коришћење сигурних протокола: Увек треба користити сигурне верзије протокола, као што су HTTPS (уместо HTTP), SFTP (уместо FTP) и SSH (уместо Telnet).
Виртуелне приватне мреже (VPN): VPN креира шифровани тунел између клијента и сервера, чиме се штити сав саобраћај од њушкања, што је посебно важно приликом коришћења непоузданих мрежа попут јавних Wi-Fi мрежа.
2. Сигурна конфигурација мреже Правилно дизајнирана и конфигурисана мрежа може значајно смањити ризик од напада.
Коришћење свичева уместо хабова: Модерне мреже користе свичеве који ограничавају домет пасивног њушкања.
Мрежна сегментација: Подела мреже на мање, изоловане сегменте (нпр. помоћу VLAN-ова) ограничава површину напада. Ако је један сегмент компромитован, нападач не може лако њушкати саобраћај у другим сегментима.
Заштита портова (Port Security): На свичевима се може конфигурисати заштита портова како би се ограничио број MAC адреса по порту, што отежава MAC flooding нападе.
Статичке ARP табеле: Ручно дефинисање ARP табела на критичним системима може спречити ARP тровање.
3. Заштита бежичних мрежа
Јака енкрипција: Користити WPA3 или барем WPA2 стандард за шифровање бежичног саобраћаја, уз јаку и јединствену лозинку.
Избегавање јавних Wi-Fi мрежа: Јавне бежичне мреже су често несигурне и представљају идеално окружење за нападе њушкањем. Уколико је њихово коришћење неопходно, обавезно је користити VPN.
Детекција напада њушкањем Иако је пасивно њушкање тешко детектовати, постоје технике и алати који могу указати на присуство нападача.
Системи за детекцију упада (IDS/IPS): Ови системи прате мрежни саобраћај у потрази за познатим потписима напада или аномалијама у понашању које могу указивати на њушкање.
Праћење мреже на промискуитетни режим: Постоје алати који могу покушати да детектују мрежне картице које раде у промискуитетном режиму. Они то раде слањем пакета са нетачном MAC адресом и праћењем да ли неки уређај на њих одговара.
Анализа мрежног саобраћаја: Нагла повећања мрежног саобраћаја или необични обрасци комуникације могу бити индикатор напада. Решења заснована на машинском учењу постају све ефикаснија у детекцији оваквих аномалија.
ARP Watch: Алати попут ARPwatch-а прате ARP саобраћај и бележе упаривања IP и MAC адреса, упозоравајући администраторе на сумњиве промене које могу указивати на ARP тровање.
Легитимна употреба Иако се често повезује са злонамерним активностима, њушкање пакета (packet sniffing) је и легитимна и неопходна активност у управљању мрежама. Администратори мрежа користе анализаторе пакета за:
Решавање проблема: Дијагностиковање мрежних проблема, као што су губитак пакета, велика латенција или проблеми са повезивањем.
Анализа перформанси: Праћење и оптимизација перформанси мреже и апликација.
Безбедносна анализа: Идентификовање сумњивог саобраћаја и анализа безбедносних инцидената.
Развој протокола: Провера исправности имплементације мрежних протокола.
Разлика између легитимне употребе и злонамерног напада лежи искључиво у ауторизацији и намери.
Референце {референце}}
Види још
Безбедност рачунарских мрежа Напад човек-у-средини Анализатор пакета Wireshark Enkripcija VPN
Категорија:Безбедност рачунарских мрежа Категорија:Сајбер напади Категорија:Надзор