Network Forensics

Network forensics (informatyka śledcza sieci) to dziedzina, która przechwytuje, zapisuje i analizuje ruch sieciowy, żeby ustalić źródło i przebieg incydentu bezpieczeństwa lub innego zdarzenia. Kluczowa różnica wobec klasycznej analizy dysku jest taka: na dysku dowody zostają, a w sieci są ulotne. Pakiet, którego nie zapiszemy w chwili, gdy przelatuje przez sieć, znika bezpowrotnie. Dlatego ta dziedzina opiera się albo na ciągłym, zaplanowanym nagrywaniu ruchu, albo na szybkiej reakcji tuż po wykryciu zdarzenia.

Czym jest network forensics?

Termin spopularyzował Marcus Ranum. Określił network forensics jako przechwytywanie, rejestrowanie i analizę zdarzeń sieciowych, żeby ustalić źródło ataków lub innych incydentów. W praktyce chodzi o odtworzenie tego, co działo się w sieci: kto się z kim łączył, jakimi protokołami, jakie pliki i polecenia przesłano i w jakiej kolejności.

Materiałem dowodowym są tu między innymi:

• surowe pakiety, czyli pliki PCAP (od ang. packet capture, „przechwycenie pakietów”);
• rekordy przepływów, czyli skróty połączeń w formatach NetFlow lub IPFIX;
• logi sesji tworzone przez sensory ruchu, na przykład Zeek;
• logi urządzeń sieciowych: routerów, firewalli, serwerów DNS i proxy.

Network forensics ma dwa główne zastosowania. Pierwsze dotyczy bezpieczeństwa: ciągłe pilnowanie sieci pod kątem nietypowego ruchu i wykrywanie włamań. Drugie jest dochodzeniowe i prawne: z zarejestrowanego ruchu można odtworzyć przesłane pliki, wyszukać słowa kluczowe i zrekonstruować komunikację (na przykład e-mail czy czat) na potrzeby postępowania.

Jak działa network forensics? Catch-it-as-you-can vs stop-look-listen

Dane zbiera się na dwa sposoby. Różnią się tym, czy stawiamy na komplet danych, czy na oszczędność zasobów:

• Catch-it-as-you-can („łap, co się da”) — wszystkie pakiety przechodzące przez dany punkt sieci trafiają na dysk, a analizę robi się później. Daje pełny obraz wstecz, ale zżera ogromne ilości miejsca na dyskach i wymaga szybkiego zapisu.
• Stop-look-listen („zatrzymaj, popatrz, posłuchaj”) — każdy pakiet jest najpierw oglądany w pamięci, a na dysk idzie tylko to, co istotne (na przykład opis sesji, alerty, wycinki treści). Oszczędza miejsce, ale potrzebuje mocniejszego procesora i niesie ryzyko, że pominięty szczegół przepadnie.

Osobno rozróżnia się też analizę na żywo (w czasie rzeczywistym, gdy reagujemy na trwający incydent) i analizę po fakcie (z archiwum, gdy szukamy przyczyny i zbieramy dowody).

Pełny zapis pakietów (full packet capture) a metadane i flow

Są dwa podejścia do tego, ile ruchu zapisywać. Różnią się głębią i kosztem:

• Pełny zapis pakietów (full packet capture, FPC) — zapisujemy całe pakiety razem z ich treścią, jako pliki PCAP. Pozwala odtworzyć przesłane pliki i przeanalizować zawartość, ale zajmuje bardzo dużo miejsca. W szybkich sieciach skraca to okno, przez które trzymamy historię.
• Flow i metadane — NetFlow, sFlow lub IPFIX zapisują same podsumowania połączeń: adresy, porty, protokół, liczbę bajtów i pakietów, znaczniki czasu. Bez treści. Logi z sensorów takich jak Zeek dokładają do tego bogaty opis warstwy aplikacji (DNS, HTTP, TLS, SMB) przy ułamku objętości pełnego PCAP. Dzięki temu historię można trzymać miesiącami, a nie godzinami.

W dojrzałych wdrożeniach łączy się oba podejścia: ciągłe flow i metadane jako szkielet historii, a do tego „inteligentny PCAP”, który nagrywa pełne pakiety tylko wokół podejrzanego zdarzenia, gdy zadziała alert.

Na czym polega proces śledczy i łańcuch dowodowy?

Profesjonalne dochodzenie sieciowe idzie według ustalonego schematu. Często opisuje się go jako OSCAR (od ang. Obtain, Strategize, Collect, Analyze, Report, czyli: zbierz informacje, zaplanuj, pozyskaj dane, przeanalizuj, zaraportuj). Typowe etapy to:

1. Identyfikacja — ustalenie zakresu, systemów docelowych i źródeł danych.
2. Zabezpieczenie — utrwalenie danych i pilnowanie ich integralności. Dla każdego śladu liczy się skrót kryptograficzny (na przykład SHA-256), oddziela się oryginał od kopii roboczych i korzysta z nośników tylko do odczytu.
3. Zbieranie — pozyskanie danych z dobrze ustawionych sensorów. Podpina się je przez TAP (sprzętowy odczep ruchu) albo port mirror/SPAN (kopiowanie ruchu na przełączniku).
4. Badanie i analiza — szukanie śladów włamania, odtwarzanie sesji i osi czasu ataku.
5. Prezentacja — udokumentowanie wniosków dla zespołu lub sądu.

Krytyczny jest tu łańcuch dowodowy (chain of custody). Każde przekazanie dowodu z rąk do rąk trzeba odnotować: numer sprawy, opis, lokalizacja, czas, kto przejmuje, podpis. Gdy sprawa trafia do sądu, dowody muszą spełniać wymogi dopuszczalności. W USA są to między innymi Federal Rules of Evidence oraz kryteria Daubert: metoda da się sprawdzić, była recenzowana, ma znany poziom błędu i jest akceptowana w środowisku. Błąd na dowolnym etapie, od źle ustawionego sensora po brak skrótu kontrolnego, może podważyć całe postępowanie.

Jakie narzędzia wykorzystuje network forensics?

• Wireshark, tshark, tcpdump — przechwytywanie i szczegółowa analiza pakietów, filtrowanie ruchu i śledzenie strumieni połączeń.
• Zeek (dawniej Bro) — sensor, który tworzy uporządkowane logi sesji i opis warstwy aplikacji. Podstawa, gdy chcemy trzymać historię długo i taniej.
• Suricata, Snort — systemy wykrywania i blokowania włamań (IDS/IPS), które porównują ruch z regułami i sygnaturami. Często to one wywołują alert uruchamiający zapis PCAP.
• NetworkMiner — wyciąga z plików PCAP konkretne artefakty: pliki, certyfikaty, dane logowania.
• Kolektory NetFlow/IPFIX — zbierają i analizują przepływy na potrzeby długiej historii i wykrywania nietypowych skoków ruchu.

Czym network forensics różni się od computer forensics?

Computer forensics (analiza śledcza pojedynczego komputera) bada to, co zostaje na jednym urządzeniu: system plików, rejestr, pamięć, dzienniki systemowe. Network forensics bada dane w ruchu — ulotne i rozsiane po wielu węzłach. Dane sieciowe szybko znikają, ale za to pokazują, jak systemy się ze sobą łączą, i pozwalają złożyć oś czasu ataku, który przeszedł przez kilka maszyn. W praktyce obie dziedziny się uzupełniają: komputer pokazuje, co napastnik zrobił na maszynie, a sieć — jak się komunikował i jak się przemieszczał.

Jaka jest relacja network forensics do NDR, DFIR i reagowania na incydenty?

Network forensics jest częścią szerszego procesu DFIR (Digital Forensics and Incident Response, czyli informatyka śledcza i reagowanie na incydenty) i blisko wiąże się z NDR (Network Detection and Response, wykrywanie i reagowanie w warstwie sieci). Różnica jest w celu i rygorze. NDR i reagowanie na incydenty grają na czas: wykryj, przeanalizuj, eskaluj, opanuj. Network forensics dokłada do tego formalne zabezpieczenie dowodu i nastawia się na przedstawienie wyników, także przed sądem.

Ta sama telemetria sieciowa — pełne pakiety, flow i logi sensorów — zasila i wykrywanie na żywo (zespoły SOC, threat hunting), i dochodzenie po fakcie. Dla zespołu SOC ma to konkretną wartość: gdy SIEM, EDR czy IDS wygeneruje alert, zarejestrowany ruch pozwala potwierdzić albo wykluczyć włamanie i odtworzyć cały przebieg ataku, którego pojedyncze logi by nie pokazały.

Dlaczego network forensics jest trudne?

• Wolumen i retencja — pełny zapis pakietów w szybkiej sieci to terabajty dziennie. Bez modelu hybrydowego okno historii kurczy się do godzin.
• Szyfrowanie — coraz więcej ruchu jest szyfrowane (TLS), więc do treści często nie ma dostępu. Analiza przesuwa się na metadane, na rozpoznawanie połączeń po charakterystycznych cechach (na przykład odciski JA3/JA4) i na badanie samego kształtu ruchu zamiast jego treści.
• Ulotność danych — brak sensora we właściwym miejscu i czasie oznacza trwałą utratę dowodu.
• Umiejscowienie sensorów — ruch między serwerami (wschód–zachód), chmura i środowiska hybrydowe wymagają przemyślanego rozstawienia, inaczej powstają martwe pola.
• Prywatność i zgodność — przechwytywanie ruchu dotyka danych osobowych i musi być zgodne z przepisami, na przykład z RODO.

Dowiedz się więcej

• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — Opisuje atak, który można wykrywać w analizie pakietów i anomalii ruchu sieciowego.
• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Wyjaśnia, jak widoczność ruchu sieciowego wspiera analizę zdarzeń w Network Forensics.
• IoA (Indicator of Attack) — IoA pomaga wskazać oznaki ataku widoczne w śladach i zachowaniu ruchu sieciowego.
• SOAR — SOAR wspiera automatyzację działań po wykryciu zdarzeń analizowanych w Network Forensics.