Początkowo sniffery wykorzystywane były bardzo często przez administratorów poszczególnych sieci w celu wynajdywania usterek. Analizując trasę pakietów można było stwierdzić, na jakie problemy one napotykały, gdzie ginęły itp. Nie trzeba było długo czekać, by znalazł się ktoś, kto znalazł sposób, by wykorzystać je do własnych potrzeb (np. podglądania cudzej poczty).

Obecnie dobry sniffer stanowi bardzo wygodne narzędzie dla hakera. Umieszczony w newralgicznym punkcie Sieci potrafi on zebrać ogromną ilość danych. Warto podkreślić, że dobry sniffer to taki, który poza samą swą niezawodnością, stabilnością i możliwością konfiguracji posiada także zestaw filtrów, odrzucających wybrane pakiety, a przyjmujących tylko te, na które są istotne. Filtrowanie jest rzeczą bardzo ważną, gdyż ilość danych przepływająca nawet w najmniejszej sieci lokalnej może wynosić (w zależności od aktywności) od kilkuset kb do kilkudziesięciu MB w ciągu minuty (gdy kilka komputerów ściąga jednocześnie dużo danych). Pozostawienie na kilka godzin takiego sniffera, zapewne zapchałoby dysk twardy komputera zupełnie niepotrzebnymi pakietami. Jest wiele takich programów. Jednym z nich jest Sniff ICMP, najprostszy sniffer, który funkcjonuje w systemie operacyjnym Windows 95/98 do Windows 10. W zasadzie program przyda się bardziej do analizowania przychodzących sygnałów ICMP, gdyż nie wyłapuje on sygnałów spoza konkretnego komputera. Należy pamiętać o tym, że protokół ICMP odpowiada za przesyłanie komunikatów o działaniu sieci (są to zarówno komunikaty    PING,    jak    i    informacje o niedostępności danych hostów). Tak więc ilość zebranych danych siłą rzeczy ograniczy się tylko do tych informacji.

To program prosty w obsłudze. Po uruchomieniu mamy do dyspozycji niewiele opcji:

♦    Sur ecoute — włączenie nasłuchiwania;

♦    Signaler une eventuelle attaque — sygnalizowanie ewentualnych ataków;

♦    Enregistrer le log — włączenie zap isywania logów do p liku icmp_log.txt w katalogu, w którym został uruchomiony program;

♦    Voir le log — pokaz zapisanego logu;

♦    Reinitialiser — wyczyszczenie okna z logami;

♦    Minimiser — minimalizowanie okna.

Dobrze jest również zapoznać się z wartościami znajdującymi się w najważniejszych kolumnach okna z logami:

♦    Nbre — ilość identycznych komunikatów wysłanych kolejno (zwykle jest ich kilka, więc kilkaset może oznaczać atak, np. Ping Flood);

IP (distant) — adres IP z jakiego został wysłany komunikat;

Port (distant) —port na zdalnym komputerze, z jakiego został wysłany komunikat;

IP (local) — adres IP odbierającego komputera;

Port (local) — port komputera, na który został wysłany komunikat;

Message —jest to „przetłumaczony” przez program komunikat, jaki trafił (nie przetłumaczony znajduje się w kolumnie Codę) do odbierającego komputera.

Twoja Ocena