במיני-קורס זה, נתחיל מהבסיסים ונבין לעומק כיצד פרוטוקולים נפוצים ועקרונות רשתות עובדים. זהו קורס שיביא את הידע התיאורטי שלכם לרמה מעשית, תוך כדי שימוש בכלים כגון Wireshark.
מבוא
ברוכים הבאים לתהליך הלמידה שלנו על יסודות רשתות מחשבים ואבטחת סייבר. בפוסט זה נחקור את המונחים הבסיסיים והפרוטוקולים החשובים, כדי שתוכלו להבין טוב יותר את פעולתה של הרשת. נעמוד על המושגים החשובים ונראה כיצד הם מתבצעים בצורה מעשית בעבודה עם Wireshark.
כחלק מתהליך הלמידה, נעמוד על ניתוח נתונים, סינון חבילות, והבנה של פרוטוקולים כמו DHCP, ARP ו-HTTP. נשאף להבין כיצד כל אחד מהמרכיבים הללו תורם לתהליך התקשורת ברשת ואילו כלים זמינים לנו כדי לנתח את המידע.
סינון
סינון נתונים הוא מרכיב מרכזי בניתוח חבילות באמצעות Wireshark. כאשר אנו עוסקים בניתוח רשת, לעיתים קרובות יש לנו כמות גדולה של חבילות שצריכות להיות מנותחות. לכן, סינון מאפשר לנו להתמקד רק בנתונים הרלוונטיים.
כדי לסנן חבילות ב-Wireshark, יש להשתמש בשורת הסינון. לדוגמה, אם נרצה לראות רק חבילות HTTP, נוכל להקליד http בשורת הסינון. ניתן גם לסנן לפי פרוטוקולים כמו TCP, UDP, DNS, ו-DHCP.
אחת מהשיטות הנפוצות בסינון היא השימוש באופרטורים כמו == (שווה), != (לא שווה), and, or ועוד. לדוגמה, אם נרצה לראות חבילות TCP עם פורט 80, נוכל לכתוב tcp.port == 80.
ניתוח סטטיסטי
ניתוח סטטיסטי הוא כלי חשוב להבנת תעבורת הרשת. Wireshark מספקת מגוון של כלים לניתוח סטטיסטי, כולל ניתוח פרוטוקולים, שיחות, וכתובות קצה. כלים אלה יכולים לעזור בזיהוי בעיות פוטנציאליות ברשת או בהבנה טובה יותר של התנהגות התנועה.
למשל, ניתוח היררכיית הפרוטוקולים מאפשר לנו לראות את אחוזי השימוש בכל פרוטוקול, מה שמסייע בזיהוי anomalous communications. אם נבחן את השיחות, נוכל לראות אילו כתובות IP מתקשרות ביניהן ואילו פרוטוקולים בשימוש.
באופן כללי, ניתוח סטטיסטי הוא דרך מצוינת להבין את השימוש ברשת ולזהות בעיות פוטנציאליות.
נתוני HTTP (פרוטוקול העברת היפר טקסט)
נתוני HTTP הם חלק מרכזי בכל תקשורת רשת, במיוחד כאשר מדובר באתרים וביישומים באינטרנט. Wireshark מאפשרת לנו לנתח את הנתונים הללו בצורה מעמיקה.
באמצעות Wireshark, נוכל לסנן חבילות HTTP ולראות את כל הבקשות והתגובות. לדוגמה, נוכל לראות בקשות GET ו-POST, מה שמספק לנו תובנות על מה שהמשתמשים עושים באינטרנט.
בנוסף, נוכל לנתח את כותרות ה-HTTP ולראות נתונים כמו User-Agent, Cookies, וסטטוס קודים של תגובות. כל הנתונים הללו יכולים לשמש אותנו כדי להבין טוב יותר את התנהגות המשתמשים ואת פעולותיהם.
מחשבים וחשבונות משתמשים (DHCP, BootP, NBNS & Kerberos)
כדי לנהל את הרשת בצורה יעילה, יש צורך להבין את הפרוטוקולים המאפשרים למחשבים לקבל כתובות IP ולהתחבר לרשת. DHCP (פרוטוקול קונפיגורציה דינמית של מארחים) הוא אחד מהפרוטוקולים הללו. הוא מאפשר למחשבים לקבל כתובת IP אוטומטית מהשרת.
BootP הוא פרוטוקול ישן יותר שמספק את אותה הפונקציה, אך DHCP הוא המודרני והיעיל יותר. NBNS (שירות שם נטביוס) משמש לזיהוי מחשבים ברשת Windows, בעוד ש-Kerberos הוא פרוטוקול אימות המיועד לספק אבטחה בתקשורת בין מחשבים.
DHCP (פרוטוקול קונפיגורציה דינמית של מארחים)
DHCP הוא פרוטוקול קרדינלי המאפשר למחשבים ברשת לקבל כתובות IP בצורה אוטומטית. כאשר מחשב חדש מתחבר לרשת, הוא שולח בקשת DHCP Discover, והשרת מגיב עם DHCP Offer. לאחר מכן, המחשב שולח בקשה לשרת עם DHCP Request, והשרת מספק את ההכרה النهائية עם DHCP Acknowledgement.
באמצעות Wireshark, נוכל לנתח את כל תהליך DHCP ולראות את כל החבילות הקשורות. זהו כלי חיוני להבנת כיצד מחשבים מתקשרים עם השרתים שלהם.
ARP (פרוטוקול פתרון כתובת)
ARP הוא פרוטוקול חיוני המאפשר למחשבים למצוא את ה-MAC address של מכשירים אחרים ברשת על סמך כתובת ה-IP שלהם. כאשר מחשב רוצה לשלוח נתונים למחשב אחר, הוא שולח בקשת ARP לשאול מי מחזיק בכתובת ה-IP המדוברת.
המחשב עם הכתובת המתאימה משיב עם ה-MAC address שלו, וכך המחשב השולח יכול לשלוח את הנתונים. Wireshark מאפשרת לנו לנתח את בקשות ARP ותגובות ARP כדי להבין את התקשורת ברשת.
TCP & UDP
TCP ו-UDP הם שני פרוטוקולים חשובים ביותר בעולם הרשתות. הם משרתים מטרות שונות ויש להם תכונות שמבדילות ביניהם. TCP, או פרוטוקול בקרת שידור, הוא פרוטוקול שמבוסס על חיבור ומספק אמינות גבוהה בהעברת נתונים. לעומתו, UDP, או פרוטוקול דטגרם משתמש, הוא פרוטוקול חסר חיבור המיועד להעברות מהירות פחות אמינות.
TCP (פרוטוקול בקרת שידור)
TCP הוא פרוטוקול שמספק תקשורת אמינה בין מחשבים ברשת. הוא מבצע מעקב אחרי מנות הנתונים שנשלחות ומוודא שכל המידע הגיע ליעדו. אם נתון לא התקבל, TCP דואג לשלוח אותו שוב. זהו פרוטוקול חיבורי, כלומר הוא מבצע חיבור בין שני מחשבים לפני שמתחילים להעביר נתונים.
הידוק TCP
תהליך הידוק TCP כולל שלושה שלבים עיקריים: המחשב השולח (Host A) שולח חבילת SYN למחשב המקבל (Host B), Host B משיב עם חבילת SYN-ACK, ולבסוף Host A שולח חבילת ACK כדי לאשר את החיבור. תהליך זה נקרא "הידוק שלושה שלבים" ומבטיח שהחיבור הוקם בהצלחה.
סיום TCP
סיום החיבור ב-TCP מתבצע גם הוא באמצעות סדרה של חבילות. Host A שולח חבילת FIN כדי לסיים את החיבור, Host B משיב עם חבילת ACK ואחריה חבילת FIN, ולבסוף Host A שולח חבילת ACK נוספת. זהו תהליך שמבטיח שהחיבור נסגר בצורה מסודרת.
עוד על TCP
TCP מציע מספר תכונות נוספות כמו ניהול זרימה, ניהול תקלות ומנגנוני תיקון שגיאות. הוא פועל בשכבת ה-4 של מודל OSI ומספק שירותים כמו ניהול מספרי רצף כדי לוודא שכל המידע מועבר בצורה תקינה. בנוסף, ישנם 65,535 פורטים ב-TCP, כאשר הפורטים הראשונים 1024 הם פורטים סטנדרטיים.
UDP (פרוטוקול דטגרם משתמש)
UDP הוא פרוטוקול המיועד להעברות מהירות, אך ללא הבטחה שהנתונים יגיעו ליעדם. הוא משמש בעיקר להעברת נתונים כמו סטרימינג של וידאו או אודיו, שבהם חשוב שהשידור יימשך גם אם חלק מהנתונים אובדים. UDP אינו מבצע חיבור בין מחשבים לפני ההעברה, מה שמפשט את התהליך.
ICMP (פרוטוקול הודעות בקרת אינטרנט)
ICMP הוא פרוטוקול נוסף בשכבת ה-3 של מודל OSI, והוא משמש בעיקר כדי לספק מידע על מצב המכשירים ברשת. לדוגמה, פקודת ping עושה שימוש ב-ICMP כדי לבדוק את זמינות המחשב בכתובת IP מסוימת.
סריקות רשת
סריקות רשת הן תהליך שבו תוקפים או מנהלי מערכת משתמשים בפרוטוקולים כמו TCP ו-UDP כדי לסרוק את הרשת ולגלות אילו מכשירים זמינים ואילו פורטים פתוחים. סריקות אלו מאפשרות לתוקפים לגלות מידע על המערכות ברשת ולמצוא נקודות תורפה פוטנציאליות.
