1. Giriş
myNetMon, Microsoft Windows 95, 98, ME ile Windows NT, 2000, XP İşletim
sistemleri altında çalışabilen Network Monitor ve
Paket Analiz Programı" dır.
Program, özellikle
Unix ve türevi işletim sistemlerinde kullanılan Libpcap
"Paket Yakalama Arabirimi" nin Windows uyarlaması
olan Winpcap'i
kullanmaktadır.
2. myNetMon'un Genel Özellikleri:
Fiziksel (Ethernet)
ARP-RARP, IPX, IPV4-6
ICMP, UDP, TCP paketlerini
özelliklerine göre gösterebilme,
Paketleri Hexadesimal
olarak görüntüleyebilme,
Paketleri tipine, protokolüne,
MAC Adresi, IP Adresi ve portlarına göre
listeleyebilme,
Sadece istenen paketleri
kesebilme (filtreleme), (Sadece 2. ve 3. katmanda,
Porta (TCP-UDP), sunucudan sunucuya, paket boyutuna göre
filtreleyebilme alt programının yanında, güçlü
BPF (Berkeley Packet Filter) yapısını da
desteklemektedir.)
İstenen paketleri
yeniden gönderebilme,
TCP paketlerini birleştirerek
değişik formatlarda kaydedebilme, (ağdaki tüm
web istek ve cevaplarını .HTML formatında,
gelen ve gönderilen e-postaları .EML formatında,
bağlanılan haber gruplarından alınan
bilgileri .NWS formatında kaydetmektedir.)
Paketleri daha sonra
yeniden okumak amacıyla kaydedebilme,
Yeniden oluşturularak
kaydedilmiş formatlı dosyaları arşivleyebilme,
3. Programın Kurulması:
Programın çalışabilmesi için Winpcap
kurulu olmalıdır. Bu kütüphane belirtilen linkten yüklenerek
kurulmalıdır.
Winpcap kurulduktan sonra myNetMon'un Kur programı
çalıştırılarak bilgisayara yüklemesi yapılır.
Yükleme sonucunda Başlat/Programlar/myNetMon yolu takip edilerek
myNetMon başlatılabilir.
4. Programın Kullanılması:
a. Menüler:
File Menüsü:
New Session alt menüsü ile daha önce yakalanan paketler
ana bellekten temizlenerek program yeniden paket yakalamaya hazır
hale getirilir.
Open menüsü
altından myNetMon tarafından kaydedilmiş bir capture
dosyası (.mnc) yeniden açılabilir. Ayrıca Libpcap (ethereal, tcpdump..) ile kaydedilmiş bir capture dosyası
filtreli ya da filtresiz olarak açılabilir.
Save menüsü:
"Dump All Packets" ile, yakalanan tüm paketler myNetMon
formatında (.mnc) kaydedilebilir.
"Save All Marked Packets" ile, yakalanan paketlerden
sadece seçilenleri myNetMon formatında (.mnc) kaydedilebilir.
"Save List" ile, yakalanan tüm paketlerle ilgili liste
bilgisi Text formatında kaydedilebilir.
"Save Selected Packet's Info" ile, seçili olan paketin
detayları Text formatında kaydedilebilir.
Configuration Menüsü:
Adapter Selection ile paketlerin kesileceği ağ bağdaştırıcısı
seçilebilir ve detayları görüntülenebilir.
Capture Options ile kesimle ilgili çeşitli ayarlar yapılabilir.
Filtering Options ile filtreleme ayarları yapılabilir.
Packet Decoding Menüsü: TCP paket birleştirme özelliği
ile yeniden oluşturulacak dosyalar için ayarlamaların yapıldığı
ve oluşturulan dosyaların görüntülendiği menüdür.
b. Ayarlar:
Paketlerin
yakalanacağı Ağ Arabirimi Configuration/Adapter
Selection Menüsü ile seçilmektedir. Eğer doğru arabirim
seçilmezse ağdan paket yakalanamaz. Listedeki ilk arabirim
genellikle ethernet kartını ifade eder. Listeden istenen
arabirim seçildiğinde arabirime ait IP ayarları, MAC
adresi gibi bilgiler görüntülenmektedir.
Paket yakalamaya başlamadan
önce Configuration/Capture Options ile gerekli ayarlamalar yapılmalıdır.
Geçerli ayarlar:
- Capture Buffer Size: Bir oturumda ne kadar paket yakılanacağını
belirtir. Varsayılan değer 4196 dır. Eğer paket
yakalama esnasında bilgisayar yavaşlıyorsa bu değer
düşürülmelidir.
- Clear/Stop Capture After Buffer
Filled: Buffer için belirtilen limit doldurulduktan sonra eğer
Stop Capture seçilmişse (varsayılan) paket yakalama
durdurulur. Aksi taktirde buffer temizlenerek yeniden paket
yakalanmaya başlanır.
- Auto Scroll Packet List: Yakalanan her paket işaretlenerek
paket listesinin aşağı doğru kayması sağlanır.
- Enable Anti Anti Sniff: Ağda sniffer olup olmadığını
kontrol eden yazılımlardan saklanma modu.
- Delete Decoded Files On Exit: Geçerli oturumda oluşturulan
dosyalar sabit diske kaydedilmektedir. Eğer seçili değilse
her oturumda oluşturulacak dosyalar arşivlenecektir.
TCP Packet Decoding özelliği
ile yeniden oluşturulacak dosyaların neler olacağını
belirlemek için bu Packet Decoding/Decode Options menüsü kullanılmaldıır.
Eğer Save HTTP Files özelliği seçili ise web trafiği
içerisinde hangi tür dosyaların yeniden oluşturulacağı
belirlenir. (Html, Gif, Zip, Mp3...)
Ayrıca ağdaki e-mail, NNTP ve FTP trafiği de
kaydedilebilir.
c. Genel
Görünüm:
A. Paket Çözümleme Bölümü: Bu sütun paketleri Ethernet Başlığı,
IP Başlığı, ICMP/TCP/UDP başlık ve detayları
şeklinde görüntüler.
B. Liste Bölümü: Bu bölüm kaynak ve hedef MAC Adresi, protokol,
kaynak ve hedef IP adresi ve port şeklinde bir liste oluşturur.
C. Heksadesimal Görünüm Bölümü: Bu bölümde listeden seçilen
paketin heksadesimal içeriği görüntülenir.
D. Reklam Paneli: Bu bölüm Trsecurity.net ürünleri hakkında son
bilgilere ulaşmanızı sağlar.
d.
Filtreleme: Programın çeşitli
filtreleme seçenekleri mevcuttur, bunlar:
2 nci
ve 3 ncü Katmanda Filtreleme: 2 nci katmanda (ARP, IP,
Chaosnet, IPX..) ve 3ncü katmanda (ICMP, IGMP, UDP, TCP,
OSPF..) kesilecek/kesilmeyecek paketler belirlenebilir. Eğer Include
seçilmişse belirtilen tipteki paketleri kesilecek, Exclude
seçilmişse belirtilen tipteki paketler kesilmeyecektir.
IP
Adress/Hostname Bazında Filtreleme: Source, Destination,
and, or kelimeleri ile IP Adreslerini, sunucu adları kullanılarak
kompleks filtreler üretilebilir.
Şekildeki örnekte:
"include source 192.168.0/24 and_destination zeos"
şeklinde bir filtre yazılmıştır.
Bu filtre, 192.168.0 ağından yapılan tüm
isteklerden sadece zeos sunucusuna giden tüm paketleri kesecektir.
Port
Bazında Filtreleme: TCP/UDP protokolü ile iletilen
paketlerin hedef/kaynak bazında birden fazla port bazında
and ve or bağlaçlarıyla filtreleme yapılabilir.
Şekildeki örnekte:
"tcp dst port 25 or tcp dst port 110 or tcp dst port 80"
şeklinde bir filtre yazılmıştır.
Bu filtre, sadece TCP paketlerinden hedef portu 25 ya da 110 ya da
80 olan paketleri kesecektir. Dolayısıyla sadece HTTP,
gelen ve giden posta içeren paketler kesilecektir.
Özel
veya BPF Filtreleme: Paket boyutu belirlenen boyuta eşit,
daha az ya da daha fazla olan paketler kesilebilir. Ya da BPF
filtreleri yazılabilir. Şekildeki örnekte:
"ether[0]&1 != 0"
şeklinde bir filtre yazılmıştır.
Bu filtre sadece ethernet multicast paketlerinin kesilmesini sağlar.
e.
Kaydedilmiş Dosyaların Görüntülenmesi:
Şekilde kaydedilen dosyalar görüntülenmektedir. Ağdaki
trafikten paketler birleştirilerek HTML, GIF ve e-postalar sabit
diske kaydedilmiştir.
f. Paket
Gönderme:
Kesilen paketlerin bir kısmı ya da tamamı yeniden gönderilebilir.
Bunun için gönderilecek paket/paketler işaretlenerek
"Send Packet" butonuna basmak ve ayarları
yapmak yeterlidir.
g. Paket
İçeriğini Değiştirme (Packet Forging): Herhangi
bir paketin içeriği istenilen şekilde değiştirilebilir.
Bunun için Heksadesimal görünümün olduğu bölümden değiştirilmek
istenen bölüm için yeni değerler yazılır.