Program wykorzystywany do przechwytywania i ewentualnej analizy ruchu sieciowego, to
A. keylogger.
B. spyware.
C. sniffer.
D. viewer.
Pytanie z egzaminu CKE, styczeń 2014 (arkusz E.13-X-14.01).
Sniffer to właśnie program lub narzędzie służące do przechwytywania pakietów przesyłanych w sieci i, jeśli trzeba, do ich późniejszej analizy. W praktyce takim snifferem jest np. Wireshark, tcpdump albo tshark. Administrator używa ich, gdy chce sprawdzić, czy host poprawnie wysyła zapytania DNS, czy działa komunikacja TCP, czy pojawiają się retransmisje, błędne ramki albo nietypowy ruch. Moim zdaniem to jedno z tych narzędzi, które naprawdę pomaga zrozumieć, co się dzieje „pod spodem” w sieci, a nie tylko zgadywać na oko. Sniffer może pokazywać adresy MAC, adresy IP, porty TCP/UDP, flagi TCP, treść niektórych protokołów aplikacyjnych i czasy odpowiedzi. W dobrych praktykach branżowych używa się go legalnie: w swojej sieci, za zgodą właściciela infrastruktury, często na porcie monitorującym SPAN/mirror w przełączniku albo na komputerze diagnostycznym. Trzeba też pamiętać, że przechwytywanie ruchu może obejmować dane wrażliwe, więc ważne są zasady bezpieczeństwa, szyfrowanie, uprawnienia i dokumentowanie takich działań. Sniffer nie jest z definicji złośliwym programem, tylko narzędziem diagnostycznym, choć jak każde narzędzie sieciowe może zostać użyte źle.
W tym pytaniu kluczowe jest słowo przechwytywania ruchu sieciowego. Program typu viewer kojarzy się raczej z przeglądaniem jakiejś zawartości: plików, obrazów, logów, ekranu zdalnego albo podglądem danych. Samo oglądanie czegoś nie oznacza jeszcze przechwytywania pakietów z interfejsu sieciowego i ich dekodowania według protokołów takich jak Ethernet, IP, TCP, UDP, DNS czy HTTP. To częsty błąd myślowy: nazwa brzmi ogólnie technicznie, więc wydaje się pasować, ale nie opisuje konkretnej funkcji diagnostyki sieciowej. Spyware to oprogramowanie szpiegujące użytkownika, zwykle działające bez jego zgody. Może zbierać dane, historię przeglądania, informacje o systemie, a czasem także monitorować aktywność, ale jego celem jest naruszenie prywatności, nie profesjonalna analiza pakietów w sieci. Keylogger jest jeszcze bardziej konkretny: rejestruje naciśnięcia klawiszy, np. loginy i hasła wpisywane na klawiaturze. Nie analizuje normalnie ramek Ethernet ani sesji TCP, więc wrzucanie go do tej samej szuflady co narzędzia sieciowe jest trochę na skróty. Poprawnym pojęciem jest sniffer, czyli narzędzie do przechwytywania pakietów. W praktyce administratorzy stosują sniffing podczas diagnozowania awarii, testowania reguł firewalli, sprawdzania działania usług sieciowych oraz wykrywania nietypowych zachowań. Trzeba tylko pamiętać o etyce i prawie: przechwytywanie cudzej komunikacji bez zgody jest poważnym naruszeniem zasad bezpieczeństwa.