ikeriri > network

Prev [P.11/42] Next [*No.101-110 of 418] First / Last

05/05: Wireshark3.6.4 -

カテゴリー: consulting

投稿者: ikeriri

Wireshark3.6.4がリリースされました。主な変更点は以下になります。
Windows版はVS2022でのビルドとなり32ビット環境での最終版になりました。LinuxではGCC7.5ビルド問題の訂正、RPMパッケージが改善されています。Mac版ではインストーラーがSparkle2に変更されています。
そして、プロトコルではIEEE802.11ax、NetFlow/IPFIX、RDPをはじめとしたダイセクタの変更があります。最新版の取得は https://www.wireshark.org/download.html

本日更新されたWireshark3.6.4ですがWindowsでは開発環境がVisualStudio2022に変更になったことに伴いPCによってはC＋＋ランタイムのエラーが出てしまう場合もあるようです。現在確認していますので、Windows11 などでは少しだけアップデートを待っていても良いかもしれません。取り急ぎお知らせまでに

早速vcredist_x64 vc_redist.x64の修正バージョンのWireshark3.6.5がリリースされました！こちらのバージョンではC++ランタイム問題は発生しませんのでご安心ください。https://gitlab.com/wireshark/wireshark/-/issues/18077 自動アップデートもしくは公式サイトより最新バージョンをダウンロードください。https://www.wireshark.org/#download

04/27: Metageek社がAuvik社に買収されました

カテゴリー: capturing

投稿者: ikeriri

公式にも通知がありますが、Chanalyzer/Wi-Spy/EyeP.A.などを提供している
Metageek社がクラウド型ネットワーク管理ツールを提供するAuvik社に買収されました。

Metageek社がAuvik社に買収されたことに伴い５月より同社製品販売体制に変更があります。
Wi-SpyAir/Wi-SpyDBxは継続提供OK、Chanalyzerは各オプション廃止で
ReportBuilder機能を含めた単体永続版提供とともに
EyeP.A. TonicととあわせたMetageek Enterprise Suiteとしてサブスク制で提供されます。
詳細は弊社サイトを参考ください

04/13: CommViewForWiFi Wi-Fi 6E対応（おま国）

カテゴリー: capturing

投稿者: ikeriri

ついにTamoSoft社の無線LAN調査・キャプチャツールのCommView For WiFiが
今回のバージョンアップのバージョン７．３において、Wi-Fi ６Eに対応しました！！
※ただし日本は現在のところ非対応です

Wi-Fi 6EはIEEE802.11ax(WiFi6)を６GHｚの周波数において利用可能とした仕様で
残念ながらまだ日本では認可されていませんが、M.2接続のIntel AX 210アダプタと
組合わせて用いることで米国においてWi-Fi 6Eのキャプチャが可能になります

03/24: Wireshark3.6.3リリース

カテゴリー: capturing

投稿者: ikeriri

Wireshark3.6.3がリリースされました。
ファジング対応、セキュリティ更新のほか、
地味ですが右クリックからWikiプロトコルページへの遷移で、
きちんと新しいGitLabに反映されるようになり、
RFCなどを簡単に参照できます。

HTTP、TLSをはじめとしたダイセクタの更新もあります。

ダウンロードは https://www.wireshark.org/download.html

03/17: To Decrypt Diffie-Hellman key exchange TLS session in Wireshark

カテゴリー: capturing

投稿者: ikeriri

When your TLS server chooses Cipher Suite as TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030), you can not decrypt Diffie-Hellman key exchange if you have the private key and certification.

In this case, its good way to set SSLKEYLOGFILE from your Browser, Wireshark can decrypt TLS

03/01: リアルタイム無線LANパケットキャプチャツール「TONIC」発表

カテゴリー: capturing

投稿者: ikeriri

米国にて開催されているWLPC(Wireless LAN Professional Conference)にてMetageek社のEyeP.A.の後継となる新しいリアルタイム無線LANパケットキャプチャツール「TONIC」が発表されました。

パケキャプだけでなく、Wi-SpyDBｘ連携や自動イベント検知、複数アダプタを用いることでクライアントのローミング追跡にも対応しています。

詳細は https://www.ikeriri.ne.jp/develop/tonic/

02/18: SHARK JACK CABLE登場

カテゴリー: infrastructure

投稿者: ikeriri

Hak5社新製品のSHARK JACK CABLEはLinuxを搭載して、
USB-C（USB UART）でAndroid（OTG）やPC、Macから
シリアル、SSH、Webでアクセス可能なペンテスト機器です。
Bash、DuckyScriptのほかautossh nmap nc wget python
arp-scan hping3 macchanger ngrep nping p0f tcpdump等
を利用できます。

https://www.ikeriri.ne.jp/security/penetrationtool.html

02/18: Hak5社OMG Plug登場

カテゴリー: infrastructure

投稿者: ikeriri

Hak5社より新製品出ました。O.MG PlugはWiFiを備えた
DuckyScript対応キーストローク挿入ツールです。
WiFi経由で動的にスクリプトを変更してペイロード挿入が可能です。
いわばWiFiリモート更新対応のUSB Rubber Duckみたいに活用できます。
https://www.ikeriri.ne.jp/security/penetrationtool.html

01/04: Create your own NSM devices with Suricata using Dualcomm’s ETAP-PI, network tap appliance

カテゴリー: capturing

投稿者: ikeriri

Create your own NSM devices with Suricata using Dualcomm’s ETAP-PI, network tap appliance

as well as Raspbery Pi with power redundant, graceful shutdown, user defined push buttons and leds.

Youtube movie here
https://youtube.com/watch?v=vo6yySnmvFE

Dualcomm社ETAP-PIで作成するSuricata NSMアプライアンス（日本語・Youtube）
Download PDF
https://www.ikeriri.ne.jp/develop/Dualcomm/Create%20your%20own%20NSM%20devices%20with%20Suricata%20using%20Dualcomm%E2%80%99s%20ETAP-PI,%20network%20tap%20appliance.pdf

Dualcomm’s ETAP-PI is a network tap appliance, there are two gigabit port for inline connection, and 1 monitor gigabit port that aggregate the traffic. Not only network tap, ETAP-PI has a raspberry Pi 4 inside the box. We can create our own NSM ( network security monitoring ), NIDS devices using Suricata, Snort and so on. This TAP appliance has dual redundant power supply and graceful shutdown button, as well as user-defined two LEDs and a push button for enterprise use.

I refer the useful websites below: https://jufajardini.wordpress.com/2021/02/15/suricata-on-your-raspberry-pi/ https://www.reddit.com/r/raspberry_pi/comments/np1a8f/building_my_home_intrusion_detection_system/

Step1: Install Suricata for Raspberry Pi4 Install required packages

apt-get install python-pip libnss3-dev liblz4-dev libnspr4-dev libcap-ng-dev git

Install packages for build Suricata

apt install libpcre3 libpcre3-dbg libpcre3-dev build-essential libpcap-dev libyaml-0-2 libyaml-dev pkg-config

zlib1g zlib1g-dev make libmagic-dev libjansson-dev rustc cargo python-yaml python3-yaml liblua5.1-dev Get Suricata source file

wget https://www.openinfosecfoundation.org/download/suricata-6.0.3.tar.gz Extract source file and change directory for source file

tar -xvf suricata-6.0.3.tar.gz

cd suricata-6.0.3

Execute configure script with some option

./configure --prefix=/usr --sysconfdir=/etc --localstatedir=/var --enable-nfqueue --enable-lua Compile and install Suricata

make

sudo make install Setup rules

cd suricata-update

sudo python setup.py build sudo python setup.py install

cd ..

sudo make install-full

Step2: Suricata Configuration Update Suricata rules

sudo suricata-update Edit configuration file

Nano /etc/suricata/suricata.yaml

Check #ring-size: 2048 section

And uncomment and change ring buffer size to 30000 ring-size: 30000

Step3: Execute Suricata and Test detection

Execute suricata in background ( -c config file -i interface -S rule file)

sudo suricata -c /etc/suricata/suricata.yaml -i eth0 -S /var/lib/suricata/rules/suricata.rules & Check the latest log file

sudo tail -f /var/log/suricata/fast.log Access malware specific website

wget 3wzn5p2yiumh7akj.onio

and you can find alert event like that

ET MALWARE Cryptowall .onion Proxy Domain [**] [Classification: A Network Trojan was detected] [Priority: 1] ps aux | grep suricata to find process ID and kill the process after testing

Step4: Set Suricata as a service Edit service script

nano /etc/systemd/system/suricata.service Copy and Paste a sample

[Unit]

Description=Suricata Intrusion Detection Service

After=network.target syslog.target

[Service]

ExecStart=/usr/bin/suricata -c /etc/suricata/suricata.yaml -i eth0 -S /var/lib/suricata/rules/suricata.rules ExecReload=/bin/kill -HUP $MAINPID

ExecStop=/bin/kill $MAINPID

[Install]

WantedBy=multi-user.target

Start/Stop/Restart/Check Suricata as a service sudo service suricata [start/stop/restart/status]

Step5: Check log and Log rotate

Suricata creates log files at /var/log/suricata

eve.json : huge json file for analysing with Erastic Search and Kibana or Sprunk, etc. fast.log : suspicious event log ( it is useful to just check event )

stats.log : network statistics log

suricata.log : Suricata’s service log

Check the latest suspicious events

sudo tail -n 100 -f /var/log/suricata/fast.log

Suricata may create huge size of log file, so you may configure log rotate setting, so edit log rotate setting file nano /etc/logrotate.d/suricata

/var/log/suricata/*.log /var/log/suricata/*.json {

daily

maxsize 1G

rotate 30

missingok

nocompress

create

sharedscripts

postrotate

systemctl restart suricata.service endscript

}

It means each daily log file limit to 1GB and holds the latest 30 files (for a month) Change logrotate configuration

Sudo logrotate -f /etc/logratate.conf

Step6: Automatically update Suricata rules at midnight

Edit crontab to update and restart suricata at 3:33 am

33 3 * * * sudo suricata-update && sudo service suricata restart

It is a typical setting of maintain Suricata by Raspberry Pi but works best with ETAP-PI

Create and customize your own stable NSM device and be ready for cyber security.

I recommend to connect other packet capturing devices at external port of ETAP-PI.

We can check actual pcap/pcapng file with Wireshark, if you find some important security event!!

Megumi Takeshita, ikeriri network service co., ltd. (Twitter@ikeriri / megumi@ikeriri.ne.jp)
https://www.ikeriri.ne.jp/develop/Dualcomm/rapsberrypinetworkappliance.html

12/03: tcp.completeness in Wireshark3.6.0

カテゴリー: capturing

投稿者: ikeriri

Wireshark3.6.0 tcp.completeness field is a integer value to understand connection state.
the value consists of
1 : SYN
2 : SYN-ACK
4 : ACK
8 : DATA
16 : FIN
32 : RST
when you see the value in your trace file at the Client side, it may be
1: just a SYN(1) packet, the firewall blocked the connection on server side.
3: SYN(1)+SYN/ACK(2), half connection, server is stressful or DoS attaked.
7: SYN(1)+SYN/ACK(2)+ACK(4) just a ESTABLISHED TCP connection without data

so Incomplete, DATA(15) means SYN(1)+SYN/ACK(2),+ACK(4)+DATA(8), TCP connection has been established and start data stream and not finished yet.

Prev [P.11/42] Next [*No.101-110 of 418] First / Last

ikeriri|network [Twitter] [facebook]

05/05: Wireshark3.6.4 -

04/27: Metageek社がAuvik社に買収されました

04/13: CommViewForWiFi Wi-Fi 6E対応（おま国）

03/24: Wireshark3.6.3リリース

03/17: To Decrypt Diffie-Hellman key exchange TLS session in Wireshark

03/01: リアルタイム無線LANパケットキャプチャツール「TONIC」発表

02/18: SHARK JACK CABLE登場

02/18: Hak5社OMG Plug登場

01/04: Create your own NSM devices with Suricata using Dualcomm’s ETAP-PI, network tap appliance

12/03: tcp.completeness in Wireshark3.6.0

Sidebar

ikeriri|network[Twitter] [facebook]

05/05: Wireshark3.6.4 -

04/27: Metageek社がAuvik社に買収されました

04/13: CommViewForWiFi Wi-Fi 6E対応（おま国）

03/24: Wireshark3.6.3リリース

03/17: To Decrypt Diffie-Hellman key exchange TLS session in Wireshark

03/01: リアルタイム無線LANパケットキャプチャツール「TONIC」発表

02/18: SHARK JACK CABLE登場

02/18: Hak5社OMG Plug登場

01/04: Create your own NSM devices with Suricata using Dualcomm’s ETAP-PI, network tap appliance

12/03: tcp.completeness in Wireshark3.6.0

Sidebar

ikeriri|network [Twitter] [facebook]