Surveillance powered by Linux

Un petit recensement de quelques utilitaires de surveillance de réseau utiles ou pas, ça dépend de vos besoins :)

PS : Ne pas abuser de ces commandes a des fins malicieuses, les données des autres ne nous concernent pas !

tcpdump

La commande la plus connue pour la capture de paquets par excellence. Par défaut la commande retourne tous les paquets qui passent sur le réseau (a savoir tout ce qui passe sur le switch d'un bâtiment par exemple).

23:28:09.542847 IP hwq.maisel.enst-bretagne.fr.netbios-ns > 172.16.255.255.netbios-ns: NBT UDP PACKET(137): QUERY; REQUEST; BROADCAST
23:28:09.543616 IP wafer.maisel.enst-bretagne.fr.32786 > noboot.maisel.enst-bretagne.fr.domain:  34478+ PTR? 255.255.16.172.in-addr.arpa. (45)
23:28:09.545736 IP noboot.maisel.enst-bretagne.fr.domain > wafer.maisel.enst-bretagne.fr.32786:  34478 NXDomain* 0/1/0 (126)
23:28:09.546006 IP wafer.maisel.enst-bretagne.fr.32786 > noboot.maisel.enst-bretagne.fr.domain:  34479+ PTR? 152.25.16.172.in-addr.arpa. (44)

Un meilleur filtrage peut se faire avec les option -nq

23:28:55.520504 IP 172.16.25.152.137 > 172.16.255.255.137: UDP, length: 50
23:28:55.575918 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408
23:28:55.581726 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408
23:28:55.632153 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 256

Un filtrage par protocole peut etre fait aussi exemple pour les connexions tcp

# tcpdump -nq tcp
23:33:15.430157 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408
23:33:15.486168 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408
23:33:15.503876 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408
23:33:15.543694 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408
23:33:15.543753 IP 172.16.29.29.33388 > 64.236.34.4.5190: tcp 0

man tcpdump pour toutes les options possibles et imaginables

Ethereal

Big Brother de tcpdump mais avec une interface graphique qui permet de filtrer les captures de paquets suivant ce que l'utilisateur recherche. Plusieurs protocoles sont recenses et l'application permet de regarder les paquets un par un en détail pour les fous d'hexadecimal ou autre :)

ngrep

Network Grep, assez violent sans aucune option mais très puissant comme outil

T 64.236.34.4:5190 -> 172.16.29.29:33388 [A]
  7=.,....4&l.8`0^.-. .I9m...<...].....]$..pd..B.J..)..(B;%,...ekll0i...r...J...V.}......".Vs.dc.=#..W.._...........Vu......kY.>.
  .d....C...&..C.`..,..h].G....../<..?..R.b........%..3.i.(......+...EL...j..26.....Q,....3..Y..Q.....).....?,..0....~>pi.f...W..
  ../....RK `....h.t..8.$G.......1>..4..[o...ZH.,.J.Cy`..Yr.....=#xB.+i:.%.......K...0$r..n.M.O,......rd.."}$_.&../............x.
  ../| ..s...*.._|.l.bb..........]a.;.......................O.......U.iQ.).hz*K.$.~..f...(...s...x.....x........"..-.6....IH...>.
  .{.a_...........M...U...@.YFNi.........h.Y.....{.=.\.a8.3........1l...]`1...........Al,.D...z.?......... .pa`#M....w..%J..T.I..
  ...(..E...........m..9..t...%....pd...x5.i..r*..m."..H.}..ah..0t..2.+..&..r.S.....r?.dt[.#N......^.._R........{7o.`.@.`pJ....v.
  ...............V..L2,L.GK.X"..idr.I0....~...B..9=.(y2U.f.0.....o.BZfg...I;Z.k~@V...oAJoh.lR$O.-.G.(....\NAIx|..................
  I%.K..H.m.....].>..iEz~..........a.^E.J.m.@ ..H.p..F$..$].......y......&~.W,.y....H..D.j.)..rd....+.if.Z1..=."....s..e....4....
  .B'.N.C...."..l6..[...h......&..HR.f4....r..0#aB....2q.........E8..R/.i[...J.f,..Bn8,,..C..'"$...x|dL..Q.#..c...7..wv..`..^E@..
  .....%...V+:.KI5I.uX........=............#.5(../.x.Q....D.@.`sm.y0.....P.\....c^.....J).M.Z..m.{.......@M..D...........r<.@%$..
  ..EBUr..../kDz....B.i....pd....%]...r- L-.b....}..ap...4`....f....'V.UUUc...a.........._)K.r........GS..d....../.. ....g...*.w.
  .......g...
##

On peut lui intégrer tout plein de filtres assez sympathiques et puissants, même des regex pour les fans !

potion

Outil aussi sympathique qui capture tous les trafics passant sur le réseau et les tris dynamiquement suivant l'adresse IP source et destination avec des statistiques.

# potion eth0
ÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÂÄÄÄÄÄÄÄÄÄÄÄÄÄÂÄÄÄÄ
Source                   ³ Destination                    ³  Protocol   ³ Avg Rate
ÃÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÅÄÄÄÄÄÄÄÄÄÄÄÄÄÅÄÄÄÄÄÄÄÄ
64.236.34.4:5190        ³ 172.16.29.29:33388                     tcp     ³   105.2k 
192.108.115.2:8080      ³ 172.16.29.29:33639                     tcp     ³     9.0k
172.16.23.6:6767        ³ 172.16.29.29:33055                     tcp     ³     2.4k  
172.16.29.29:33639      ³ 192.108.115.2:8080                     tcp     ³    931.4  
172.16.23.159:68        ³ 255.255.255.255:67                     udp     ³    684.0
172.16.25.152:137       ³ 172.16.255.255:137                     udp     ³    568.7
172.16.23.254:68        ³ 255.255.255.255:67                     udp     ³    364.8
172.16.24.69:5353       ³ 224.0.0.251:5353                       udp     ³    330.7 
172.16.29.29:33055      ³ 172.16.23.6:6767                       tcp     ³    276.0

scanssh

Outil qui scanne des machines a la recherche de proxy ou de serveurs SSH ouverts

Nmap

Scanneur de machines assez puissant, qui peut entre autre faire un listing des ports ouverts sur machine

#nmap localhost

21/tcp    open  ftp
22/tcp    open  ssh
25/tcp    open  smtp
80/tcp    open  http
3306/tcp  open  mysql
19150/tcp open  gkrellmd

lsof

Une commande unix qui permet de voir quel programme utilise quel fichier ou quel port sur la machine locale.

lsof -i donne la liste des programmes et des ports ouverts

netstat

pour voir les connexions réseau ouvertes en local. Il y a plein de paramètres possibles, une des combinaisons assez simples à retenir est :

#netstat -taupe

Surveillance-réseau