Hoe kun je het netwerkverkeer bekijken en controleren

Als je systeem zich opvallend gedraagt, kan het de moeite waard zijn om het netwerkverkeer eens te bekijken en te controleren welke verbindingen er gemaakt zijn. NetworkTrafficView van NirSoft is daar erg handig voor. Het toont de netwerkverbindingen van je systeem en vertelt je van welke processen de verbindingen afkomstig zijn.

De DNS-query’s zijn ook informatief, want voordat een verbinding met een bepaald domein tot stand kan worden gebracht, moet een proces eerst het bijbehorende ip-adres opvragen bij een DNS-server.

Blijf op de hoogte van tips voor beveiliging! Schrijf je in voor de nieuwsbrief:

Met DNSQuerySniffer, ook van NirSoft (zie ook: Vergeten inlog wachtwoord terugvinden met NirSoft), kun je de query’s specifiek en live volgen. Op die manier kun je ook controleren of de DNS-query’s van je systeem nog steeds in platte tekst worden verzonden of al versleuteld zijn, bijvoorbeeld met DNS-over-­HTTPS (DoH).

In het laatste geval verschijnen ze niet in de analysetool.

Met PacketCache van Netresec kun je bij het analyseren van het netwerkverkeer in het verleden ­kijken: de dienst schrijft het IPv4-verkeer van het systeem continu naar het werkgeheugen, waardoor je op elk moment kunt achterhalen wat er in de afgelopen minuten gebeurd is.

Het ondersteunt momenteel echter geen IPv6-verkeer. PacketCache wordt handmatig ingesteld, maar met de instructies op de website van de fabrikant is dat snel gedaan.

Daar leer je ook hoe je de opgenomen data kunt ophalen, bijvoorbeeld met het analyseprogramma Wireshark of de evaluatietool NetworkMiner, die ook van Netresec afkomstig is.

Het geeft een snel inzicht in de communicatie: wie praat met wie, DNS-­requests, TLS-certificaten en meer.

Het haalt ook toegangsgegevens, url-parameters en afbeeldingsbestanden uit onversleutelde tekst in de communicatie (zoals bij HTTP). Alles wat daar verschijnt, kan ook worden gezien door een aanvaller die je dataverkeer afluistert, bijvoorbeeld bij een hotspot.

Gebruik de tool om datalekken op te ­sporen zodat je die door versleuteling kunt beveiligen (bijvoorbeeld met VPN).

Als je het dataverkeer live wilt bekijken met NetworkMiner, moet je het capture-stuurprogramma Npcap (WinPcap) installeren en dat selecteren als de netwerkadapter voor de analyse.

De Socket-adapters die kunnen worden geselecteerd analyseren alleen IPv4-dataverkeer, geen IPv6. Als je Wireshark geïnstalleerd hebt, heb je dat stuurprogramma waarschijnlijk al.

Een uitgebreide beschrijving van het maken van je eigen tool voor het bekijken van netwerkverkeer staat in het artikel:

Achtergrondinformatie en workshop over netwerk analyse vind je hier:

We beschrijven in meerdere artikelen het gebruik van hackingtools en hoe je ze kunt inzetten. De in deze serie genoemde hacking-tools bestrijken een breed gebied. Sommige technieken zijn beangstigend eenvoudig, andere vereisen meer training en ervaring. Maar het is de moeite waard je daar in te verdiepen: je leert te denken als een aanvaller en je eigen beveiligingsproblemen en eventuele lekken op te sporen. Dat is nuttig – ongeacht of je alleen een privé WordPress-site beheert of verantwoordelijk bent voor de veiligheid van je klanten.