Jak nazywamy atak na sieć komputerową polegający na przechwytywaniu pakietów przesyłanych w sieci?
A. Nasłuchiwanie.
B. Spoofing.
C. Skanowanie sieci.
D. ICMP echo.
Pytanie z egzaminu CKE, styczeń 2019 (arkusz E.13-X-19.01).
Nasłuchiwanie to właściwa nazwa ataku polegającego na przechwytywaniu pakietów przesyłanych w sieci. W praktyce często mówi się też sniffing, czyli podsłuchiwanie ruchu sieciowego. Atakujący uruchamia narzędzie typu Wireshark, tcpdump albo specjalny sniffer i próbuje odczytać dane przechodzące przez interfejs sieciowy. Karta sieciowa może pracować w trybie promiscuous mode, dzięki czemu odbiera nie tylko pakiety skierowane bezpośrednio do niej, ale też inne ramki widoczne w danym segmencie sieci. Moim zdaniem to jeden z tych tematów, które dobrze pokazują, czemu szyfrowanie nie jest dodatkiem, tylko podstawą. Jeśli hasło leci zwykłym HTTP, FTP albo Telnetem, to przy nasłuchiwaniu można je po prostu zobaczyć. Dobre praktyki branżowe to używanie HTTPS, SSH, SFTP, VPN, WPA2/WPA3 w Wi-Fi, segmentacja VLAN, 802.1X, port security oraz monitorowanie anomalii przez IDS/IPS. W administracji siecią przechwytywanie pakietów bywa też legalnym narzędziem diagnostycznym, np. na porcie mirror/SPAN w przełączniku, ale bez zgody właściciela sieci staje się naruszeniem bezpieczeństwa i prywatności.
W tym pytaniu łatwo pomylić różne działania wykonywane w sieci, bo wszystkie jakoś kojarzą się z bezpieczeństwem i analizą ruchu. Skanowanie sieci polega głównie na wykrywaniu hostów, otwartych portów, usług i czasem wersji oprogramowania. Narzędzia takie jak Nmap wysyłają pakiety testowe, aby ustalić, co działa w danej podsieci. To może być etap rozpoznania przed atakiem, ale samo w sobie nie oznacza przechwytywania cudzych pakietów. ICMP echo to mechanizm znany z polecenia ping. Służy do sprawdzania osiągalności hosta i pomiaru opóźnień, czyli czy urządzenie odpowiada w sieci. Owszem, bywa używany w rekonesansie albo diagnostyce, ale nie jest nazwą ataku podsłuchowego. Spoofing natomiast oznacza podszywanie się, na przykład przez sfałszowanie adresu IP, MAC albo odpowiedzi DNS. Może pomagać w atakach typu man-in-the-middle, gdzie potem rzeczywiście da się podsłuchiwać ruch, ale samo słowo spoofing opisuje fałszowanie tożsamości, a nie pasywne zbieranie pakietów. Typowy błąd myślowy polega tu na wrzuceniu do jednego worka wszystkich technik sieciowych. Przechwytywanie pakietów to konkretnie nasłuchiwanie, czyli sniffing. W praktyce administrator używa go kontrolowanie, np. do analizy błędów TCP, DNS czy DHCP, a napastnik wykorzystuje tę samą technikę bez uprawnień, żeby podejrzeć loginy, ciasteczka sesyjne albo strukturę komunikacji w sieci. Dlatego tak ważne są szyfrowane protokoły, separacja sieci i kontrola dostępu do portów przełącznika.