Som du kanskje forventer , datamaskinen begrepet " nettverk etterforskning " er lånt fra feltet av kriminologi. Det innebærer å oppsøke og finne sikkerhetsspørsmål og andre problemer innenfor datanettverk. I hovedsak er det opptak og analyse av nettverk hendelser for å avdekke kilden til sikkerhet knebukser eller andre problemer. Og spesielt , krever det evne til å fritte ut uvanlige mønstre skjult i tilsynelatende uskyldig nettverkstrafikk. Marcus Ranum , kjent brannmur ekspert, sies å ha gitt begrepet " nettverk dataanalyse, " ifølge SearchSecurity.com . Identifikasjon
Marcus Ranum , forfatter av " Database Nation : The Death of Privacy i det 21. århundre " blant andre datamaskinen sikkerhetsrelaterte titler , forteller at nettverket rettsmedisinske systemer faller innenfor to hovedkategorier : " fange den som du kan " og " stoppe, se og lytte "systemer . I begge typer , er pakker med data spores langs en utpekt trafikkstrømmen og undersøkt veldig nøye.
En pakke er en opplysning som rutes fra et punkt A til en destinasjon B på Internett eller tilsvarende nettverk . Transmission Control Protocol ( TCP ) delen av initialism "TCP /IP" rister filen i håndterbare " biter " for ruting. Hver av disse pakkene er nummerert og bærer Internett-adressen til bestemmelsesstedet , potensielt reise forskjellige ruter over eteren .
Catch Det som du kan
" Fange det som du kan " nettverk rettsmedisinske systemer tar pakker som flyr gjennom målrettede trafikk punkter i et nettverk og fange dem . Med andre ord, blir datapakkene skrevet til lagring. Selve undersøkelse og dyp analyse av disse data er gjort på et senere tidspunkt i en serie batcher . Ikke overraskende , betyr dette at du trenger store mengder lagringskapasitet , ofte finnes i et system som kalles RAID , som står for " redundant matrise av uavhengige disker. " Med RAID , er de samme dataene lagres på forskjellige steder , og dermed effektivisere og påskynde data - analysen prosessen .
Stopp, se og lytte
" stoppe, se og lytte " nettverk etterforskning tar hver pakke og undersøker den i det som kan kalles en overfladisk måte , i minnet , luke ut noen spesielt saftige biter av informasjon og lagre dem for fremtidig analyse . Mindre lagringsplass er nødvendig med " stoppe, se og lytte ", men denne tilnærmingen ofte betyr at du trenger en raskere prosessor for å holde seg oppdatert på de mengder innkommende trafikk
Storage
< . p> Både " ta det som du kan" og " stoppe, se og lytte" nettverk rettsmedisinske systemer krever kapasitet til å lagre enorme hauger av data og behovet for å gjøre plass til ny informasjon ved å dumpe foreldet biter av data . Det er programmer designet spesielt for å fange og analysere data for nettverkstjenester etterforskning . Et par av åpen kildekode- versjoner er tcpdump og WinDump , forklarer SearchSecurity.com . Kommersielle programmer er også tilgjengelig for datafangst og analyse.
Hensyn
Ifølge Marcus Ranum , den " ta det som du kan" protokoll spesielt bærer med seg problemet med personvern. Hver datapakke av informasjon - inkludert data generert av brukeren - fanges og lagres , slik at denne informasjonen utsatt for nysgjerrige øyne og lekkasjer . Selv om elektronisk kommunikasjon Privacy Act helt forbyr avlytting av Internett-leverandører - bortsett fra operasjoner overvåking under rettskjennelse eller etter tillatelse fra brukerne - det ser ut til at jo mer informasjon som blir hamstret , jo mer sannsynlig er det at sikkerheten knebukser vil forekomme . En kontroversiell nettverk rettsmedisinske analyser verktøy , eller NFAT , for eksempel , er Carnivore , drevet av FBI.
