التحليل الجنائي للشبكات

📅 آخر تحديث: ١ أغسطس ٢٠٢٦
✍️ نُشر في: ١ أغسطس ٢٠٢٦
📷 يحتوي على 1 صور
الموسوعة الحرة

يُعدّ علم الأدلة الجنائية للشبكات فرعًا من فروع الأدلة الجنائية الرقمية، ويتعلق بمراقبة وتحليل حركة مرور بيانات شبكات الحاسوب لأغراض جمع المعلومات، أو جمع الأدلة القانونية، أو كشف الاختراقات . [ 1 ] وعلى عكس مجالات الأدلة الجنائية الرقمية الأخرى، تتعامل تحقيقات الشبكات مع معلومات متغيرة وديناميكية. إذ تُنقل بيانات الشبكة ثم تُفقد، ولذلك غالبًا ما يكون علم الأدلة الجنائية للشبكات تحقيقًا استباقيًا. [ 2 ]

يُستخدم التحليل الجنائي للشبكات عمومًا في مجالين رئيسيين. الأول يتعلق بالأمن، ويتضمن مراقبة الشبكة بحثًا عن حركة مرور غير طبيعية وتحديد الاختراقات. قد يتمكن المهاجم من مسح جميع ملفات السجلات على جهاز مخترق؛ وبالتالي، قد تكون الأدلة المستندة إلى الشبكة هي الدليل الوحيد المتاح للتحليل الجنائي. [ 3 ] أما المجال الثاني فيتعلق بإنفاذ القانون. في هذه الحالة، يمكن أن يشمل تحليل حركة مرور الشبكة المسجلة مهامًا مثل إعادة تجميع الملفات المنقولة، والبحث عن الكلمات المفتاحية، وتحليل الاتصالات البشرية مثل رسائل البريد الإلكتروني أو محادثات الدردشة.

يُستخدم نظامان بشكل شائع لجمع بيانات الشبكة؛ نظام القوة الغاشمة "التقاطها قدر الإمكان" ونظام أكثر ذكاءً "التوقف والنظر والاستماع".

ملخص

يُعدّ علم الأدلة الجنائية للشبكات مجالًا حديثًا نسبيًا في علم الأدلة الجنائية. ومع تزايد انتشار الإنترنت في المنازل، أصبح الحوسبة تتمحور حول الشبكات، وأصبحت البيانات متاحة خارج نطاق الأدلة الرقمية المخزنة على الأقراص . ويمكن إجراء علم الأدلة الجنائية للشبكات كتحقيق مستقل أو بالتزامن مع تحليل الأدلة الجنائية الحاسوبية (حيث يُستخدم غالبًا للكشف عن الروابط بين الأجهزة الرقمية أو إعادة بناء كيفية ارتكاب الجريمة). [ 2 ]

يُنسب إلى ماركوس رانوم تعريف علم الأدلة الجنائية للشبكات بأنه "التقاط وتسجيل وتحليل أحداث الشبكة من أجل اكتشاف مصدر الهجمات الأمنية أو الحوادث الإشكالية الأخرى". [ 4 ]

بالمقارنة مع الأدلة الجنائية الرقمية، حيث تُحفظ الأدلة عادةً على القرص، فإن بيانات الشبكة أكثر تقلباً وعدم قابلية للتنبؤ. غالباً ما لا يملك المحققون سوى مواد لفحص ما إذا كانت مرشحات الحزم وجدران الحماية وأنظمة كشف التسلل قد تم إعدادها لاستباق الاختراقات الأمنية. [ 2 ]

تأتي الأنظمة المستخدمة لجمع بيانات الشبكة لأغراض الطب الشرعي عادة في شكلين: [ 5 ]

  • "التقاط البيانات حسب الإمكان" – يتم في هذه الطريقة التقاط جميع الحزم التي تمر عبر نقطة مرور معينة وكتابتها في وحدة التخزين، ثم يتم تحليلها لاحقًا في وضع المعالجة الدفعية. تتطلب هذه الطريقة مساحات تخزين كبيرة .
  • "توقف، انظر، استمع" – في هذه المرحلة ، تُحلل كل حزمة بيانات بشكل مبدئي في الذاكرة، ويتم حفظ معلومات محددة فقط لتحليلها لاحقًا. يتطلب هذا الأسلوب معالجًا أسرع لمواكبة حركة البيانات الواردة.

الأنواع

إيثرنت

برنامج Wireshark ، وهو أداة شائعة الاستخدام لمراقبة وتسجيل حركة مرور الشبكة

تتيح أداة Apt لجميع البيانات في هذه الطبقة للمستخدم تصفية الأحداث المختلفة. وباستخدام هذه الأدوات، يمكن إعادة بناء صفحات مواقع الويب ومرفقات البريد الإلكتروني وحركة مرور الشبكة الأخرى فقط في حال إرسالها أو استقبالها غير مشفرة. ومن مزايا جمع هذه البيانات أنها مرتبطة مباشرةً بالمضيف. فإذا عُرف، على سبيل المثال، عنوان IP أو عنوان MAC لمضيف ما في وقت معين، يُمكن تصفية جميع البيانات المرسلة من أو إلى هذا العنوان.

لإثبات العلاقة بين عنوان IP وعنوان MAC، من المفيد إلقاء نظرة فاحصة على بروتوكولات الشبكة المساعدة. تُدرج جداول بروتوكول تحليل العناوين (ARP) عناوين MAC مع عناوين IP المقابلة لها.

لجمع البيانات على هذه الطبقة، يمكن وضع بطاقة واجهة الشبكة (NIC) الخاصة بالمضيف في " الوضع المختلط ". عند القيام بذلك، سيتم تمرير جميع البيانات إلى وحدة المعالجة المركزية، وليس فقط البيانات المخصصة للمضيف.

مع ذلك، إذا كان المتسلل أو المهاجم على دراية باحتمالية تنصت اتصاله، فقد يلجأ إلى التشفير لتأمين هذا الاتصال. يكاد يكون من المستحيل اليوم اختراق التشفير، لكن حقيقة أن اتصال المشتبه به بجهاز آخر مشفر باستمرار قد تشير إلى أن هذا الجهاز الآخر متواطئ معه.

بروتوكول الإنترنت TCP/IP

على مستوى الشبكة، يتولى بروتوكول الإنترنت (IP) مسؤولية توجيه الحزم التي يُنشئها بروتوكول التحكم بالنقل (TCP) عبر الشبكة (مثل الإنترنت) بإضافة معلومات المصدر والوجهة التي يمكن لأجهزة التوجيه في جميع أنحاء الشبكة تفسيرها. تستخدم شبكات الحزم الرقمية الخلوية، مثل GPRS ، بروتوكولات مشابهة لبروتوكول الإنترنت، لذا فإن الطرق الموصوفة لبروتوكول الإنترنت تعمل معها أيضًا.

لضمان التوجيه الصحيح، يجب أن يمتلك كل جهاز توجيه وسيط جدول توجيه لتحديد وجهة إرسال الحزمة التالية. تُعد جداول التوجيه هذه من أهم مصادر المعلومات عند التحقيق في الجرائم الإلكترونية ومحاولة تعقب المهاجم. وللقيام بذلك، من الضروري تتبع حزم بيانات المهاجم، وعكس مسار الإرسال، والعثور على جهاز الكمبيوتر الذي صدرت منه الحزمة (أي جهاز المهاجم).

تحليلات حركة المرور المشفرة

نظراً لانتشار تشفير TLS على الإنترنت، اعتباراً من أبريل 2021تشير التقديرات إلى أن نصف البرامج الضارة تستخدم بروتوكول TLS للتهرب من الكشف. [ 6 ] يحلل تحليل حركة البيانات المشفرة حركة البيانات لتحديد ما إذا كانت صادرة عن برامج ضارة أو تهديدات أخرى، وذلك من خلال رصد مجموعات مشبوهة من خصائص TLS، والتي عادةً ما تكون موجهة إلى شبكات [ 7 ] أو خوادم غير مألوفة. [ 8 ] وهناك نهج آخر لتحليل حركة البيانات المشفرة يعتمد على قاعدة بيانات مُولّدة من بصمات الأصابع، [ 9 ] على الرغم من أن هذه التقنيات وُجهت إليها انتقادات لكونها سهلة الاختراق من قِبل المتسللين [ 10 ] [ 11 ] وغير دقيقة.

إنترنت

يمكن أن يكون الإنترنت مصدرًا غنيًا بالأدلة الرقمية، بما في ذلك تصفح الويب، والبريد الإلكتروني، ومجموعات الأخبار ، والمحادثات الفورية، وحركة البيانات بين المستخدمين . على سبيل المثال، يمكن استخدام سجلات خادم الويب لتحديد متى (أو ما إذا) وصل مشتبه به إلى معلومات تتعلق بنشاط إجرامي. غالبًا ما تحتوي حسابات البريد الإلكتروني على أدلة مفيدة؛ ولكن من السهل تزوير رؤوس رسائل البريد الإلكتروني، لذا يمكن استخدام الأدلة الجنائية الرقمية لإثبات المصدر الدقيق للمواد المُدينة. كما يمكن استخدام الأدلة الجنائية الرقمية لمعرفة هوية مستخدم جهاز كمبيوتر معين [ 12 ] من خلال استخراج معلومات حساب المستخدم من حركة البيانات على الشبكة.

الطب الشرعي اللاسلكي

يُعدّ علم الأدلة الجنائية اللاسلكية فرعًا من فروع علم الأدلة الجنائية للشبكات. يهدف هذا العلم بشكل أساسي إلى توفير المنهجية والأدوات اللازمة لجمع وتحليل بيانات حركة مرور الشبكة (اللاسلكية) التي يمكن تقديمها كأدلة رقمية معتمدة في المحاكم. قد تشمل الأدلة التي يتم جمعها بيانات نصية عادية، أو، مع الانتشار الواسع لتقنيات نقل الصوت عبر بروتوكول الإنترنت (VoIP)، وخاصة عبر الشبكات اللاسلكية، قد تشمل المحادثات الصوتية.

تحليل حركة مرور الشبكة اللاسلكية مشابه لتحليل حركة مرور الشبكات السلكية، ولكن قد يكون هناك اعتبار إضافي لإجراءات الأمان اللاسلكية .

انظر أيضاً

مراجع

  1. ↑ غاري بالمر، خارطة طريق لأبحاث الطب الشرعي الرقمي، تقرير من ورشة عمل أبحاث الطب الشرعي الرقمي الأولى لعام 2001، أوتيكا، نيويورك، 7-8 أغسطس 2001، الصفحات 27-30
  2. 1 2 3 كيسي، إيوجان (2004). الأدلة الرقمية وجرائم الحاسوب، الطبعة الثانية . إلسيفير. ISBN 0-12-163104-4.
  3. ↑ إريك هيلمفيك، تحليل أمن الشبكات السلبي باستخدام NetworkMiner http://www.forensicfocus.com/passive-network-security-analysis-networkminer مؤرشف بتاريخ 23 فبراير 2012 في Wayback Machine
  4. ↑ ماركوس رانوم، مسجل رحلات الشبكة، http://www.ranum.com
  5. ↑ سيمسون غارفينكل، التحليل الجنائي للشبكات: التنصت على الإنترنت http://www.oreillynet.com/pub/a/network/2002/04/26/nettap.html
  6. ↑ غالاغر، شون (21 أبريل 2021). "ما يقرب من نصف البرامج الضارة تستخدم الآن بروتوكول TLS لإخفاء الاتصالات" . أخبار سوفوس . تم الاطلاع عليه بتاريخ 29 أبريل 2021 .
  7. ↑ أرقام الأنظمة المستقلة
  8. ↑ تحليل حركة البيانات المشفرة (الجزء 1): الكشف، لا فك التشفير ، مؤرشف من الأصل بتاريخ 20 ديسمبر 2021 ، تم الاطلاع عليه بتاريخ 29 أبريل 2021
  9. ↑ Althouse, John. “TLS Fingerprinting with JA3 and JA3S” .
  10. ↑ رينالدي، ماثيو (2020-11-03). "انتحال بصمات JA3" . ميديوم . تم الاسترجاع في 29-04-2021 .
  11. ↑ "توقيعات JA3/S وكيفية تجنبها" . شركة بي سي سيكيوريتي . 16 أبريل 2020. تاريخ الاسترجاع: 29 أبريل 2021 .
  12. ↑ "فيسبوك، وSSL، والتحليل الجنائي للشبكات"، مدونة NETRESEC لأمن الشبكات، 2011