Ciao a tutti...
Un'azienda vuole tenere monitorata l'attività di rete dei propri dipendenti e mi ha chiesto di fornire report settimanali tipo questo:
CLIENT1 28-01-04 15.30 HTTP www.virgilio.it
CLIENT2 28-01-04 15.30 SMTP mario@azienda.it -> info@dest.it "Oggetto" "Testo"
CLIENT2 28-01-04 15.30 POP3 info@dest.it --> mario@azienda.it "Oggetto" "Testo"
Questa azienda ha la rete configurata in questo modo:
Client --> Switch --> Firewall --> Internet
Vorrei analizzare tutti i pacchetti in entrata ed in uscita sulle porte HTTP e HTTPS, FTP e FTP-DATA, NNTP, POP3 e SMTP.
Informandomi ho visto che la soluzione al mio problema era attivare il port mirroring sullo switch per reindirizzare una copia di tutti i pacchetti interessati su un PC dedicato al monitoraggio.
Secondo voi è la soluzione migliore?
Su questo PC girerà uno sniffer (che sto progettando) che analizzerà i pacchetti in entrata e produrrà dei logs e delle statistiche.
I pacchetti sono composti da questi dati:
IPSource, IPDest, PortSource, PortDest, PacketLen, Protocol, Data
Io intercetto solo il protocollo TCP e le porte specificate prima.
Quando il client digita l'indirizzo "www.virgilio.it" sul browser lo sniffer intercetta circa 160 pacchetti in entrata sulla Porta 80.
Come faccio a sapere quali di questi pacchetti analizzare per avere l'indirizzo testuale della pagina digitata, il titolo e magari anche altre informazioni?
Come faccio a riassemblare e ricostruire i pacchetti?
Le informazioni contenute nel pacchetto come faccio a trasformarle in formato ASCII?
Potete suggerirmi link o libri sull'argomento?
Forse ho fatto anche troppe domande...
Grazie
Rispondi quotando
