Tomáš Lőrincz. Štatistické vyhodnotenie komunikácie v počítačovej sieti

Transcription

1 Slovenská technická univerzita v Bratislave Fakulta informatiky a informačných technológií FIIT Tomáš Lőrincz Štatistické vyhodnotenie komunikácie v počítačovej sieti Bakalárska práca Vedúci bakalárskeho projektu: Ing. Boris Dado máj,2010

2 Slovenská technická univerzita v Bratislave Fakulta informatiky a informačných technológií FIIT Tomáš Lőrincz Štatistické vyhodnotenie komunikácie v počítačovej sieti Bakalárska práca Študijný program: Počítačové systémy a siete Študijný odbor: Počítačové inžinierstvo Miesto vypracovania: Ústav počítačových systémov a sietí, FIIT STU Bratislava Vedúci bakalárskej práce: Ing. Boris Dado máj, 2010

3 Anotácia Slovenská technická univerzita v Bratislave FAKULTA INFORMATIKY A INFORMAČNÝCH TECHNOLÓGIÍ Študijný program: Počítačové systémy a siete Autor: Tomáš Lőrincz Bakalárska práca: Štatistické vyhodnotenie komunikácie v počítačovej sieti Vedúci bakalárskej práce: Ing. Boris Dado máj, 2010 Vo svete existuje mnoho počítačových sietí, či už ide o malé domáce siete, alebo o veľké firemné siete so stovkami počítačov. Kvôli údržbe a odhaleniu chýb je dôležité tieto siete neustále monitorovať. Pri väčších sieťach môže byť problém manuálne kontrolovať všetky pracovné stanice. Práca sa zaoberá problematikou, ako by sa dalo toto monitorovanie, a následne vyhodnotenie komunikácie uľahčiť. Hlavná časť práce opisuje návrh a implementáciu programu, ktorý vyhodnocuje komunikáciu zachytenú v sieti. Ďalšou časťou sú testy, ktoré boli vykonané, aby sa zistilo, či sa splnili požiadavky na systém. Výsledkom sú grafické a textové znázornenia analýzy.

4 Annotation Slovak University of Technology Bratislava FACULTY OF INFORMATICS AND INFORMATION TECHNOLOGIES Degree Course: Computer Systems and Networks Author: Tomáš Lőrincz Bachelor Theses: Statistical evaluation of communication in computer network Supervisor: Ing. Boris Dado 2010, May In the world there are many computer networks, from small home networks to large corporate networks with hundreds of computers. Because of maintenance and detection of errors it is important to constantly monitor the network. For larger networks it may be difficult to manually check all the workstations. This work describes how could be the networks monitored, and subsequently how could be the evaluation of communication easier. The main part of the work describes the design and implementation of the program, which evaluates the captured communication on the network. Another part is test, which was made to determine whether the system meets requirements. The result is a graphical representation and text analysis.

5 Čestné prehlásenie Čestne prehlasujem, že som bakalársku prácu vypracoval samostatne a pri písaní bakalárskej práce som použil iba zdroje uvedené v zozname použitej literatúry. V Novej Dedinke, dňa

6 Poďakovanie Touto cestou by som sa chcel poďakovať vedúcemu práce, pánovi Ing. Dadovi Borisovi za jeho pomoc, odborné rady a vedenia počas bakalárskej práce.

7 Obsah 1. Úvod Analýza problému Počítačové siete Dôvody zavádzania počítačových sietí Komunikácia v počítačovej sieti Spôsob zachytávania a analýzy paketov Štatistika Základné pojmy Štatistické charakteristiky Existujúce riešenia Wireshark DU Meter Distinct Network Monitor Porovnanie Špecifikácia požiadaviek Návrh Použitie Hlavné časti programu Hlavná obrazovka Celková štatistika Koncové uzly Komunikácie Graf Výber programovacieho jazyka Platforma JAVA Jazyk C Platforma.NET Výber Implementácia Popis implementacie Trieda Form Trieda koncove Trieda komunikacie... 40

8 5.1.4 Trieda graf Trieda vyhodnotenie Testovanie Konzola vs. grafická aplikácia Konzolová aplikácia Grafická aplikácia Zhodnotenie výsledkov Testovanie vyhodnotenia prevádzky Všeobecné vyhodnotenie Prípad 1: P2P program Prípad 2: Prehnané posielanie ov Zhodnotenie výsledkov Záver Zoznam skratiek Použitá literatúra a odkazy Príloha A - Technická dokumentácia Trieda globalne Analýza paketu Príloha B - Používateľská príručka Inštalácia Používateľské rozhranie Hlavné okno Okno Celková štatistika Okno Koncové uzly Okno Komunikácie Okno Graf Príloha C - Elektronické médium... 61

9 1. Úvod V dnešnom svete sú počítačové siete veľmi rozšírené. V podstate ťažko nájdeme nejaký počítač ktorý by nebol napojený na nejakú sieť. Tieto siete je potrebné spravovať a sledovať, aby nenastala žiadna chyba. V krajných prípadoch to môže viesť aj k fatálnym následkom, ako napr. strata cenných dát, výpadok spojenia pri urgentných činnostiach apod. Keď nastane nejaká chyba, administrátor musí byť schopný okamžite reagovať. Postupné prehľadávanie celej siete, segment po segmente, by bolo veľmi náročne časovo. Na takéto účely slúžia rôzne monitorovacie nástroje, ktoré keď sú správne použité, odhalia väčšinu chýb. Potreba týchto nástrojov je nevyhnutná aj kvôli bezpečnosti sieti. Niektoré z nich poskytujú možnosť informovať administrátora v prípade útoku na sieť. Ten potom vie pohotovo reagovať, a útočníka nielenže zastaviť, ale aj identifikovať. Ďalej tieto nástroje je možné použiť aj na optimalizáciu siete, elimináciou, prípadne reorganizáciou niektorých segmentov. Na to slúži práve to štatistické vyhodnotenie, kde používateľ má možnosť vidieť využitie siete z rôznych pohľadov. Väčšina sieťových monitorovacích nástrojov je založená na zachytávaní paketov. Princíp je nasledovný: použitý nástroj zachytí paket pochádzajúci z monitorovanej sieti, analyzuje ho a následne z tejto analýzy vyhodnotí štatistické údaje komunikácie. Tieto údaje zahrňujú v sebe typ zachyteného protokolu, dĺžku paketu, prípadne rámca, porty, množstvo prenesených údajov a mnoho iné. Závisí to od možností konkrétneho zachytávacieho nástroja. Tieto aplikácie sú väčšinou založené na populárnej sieťovej knižnici libpcap/winpcap, prípadne na jej upravenej verzií. Táto knižnica umožňuje zachytávanie paketov na vysokej úrovni, a značne zjednoduší prácu vývojárom. Hlavné výhody tejto knižnice sú: Schopnosť zachytávať dáta z rôznych sieťových médií, ako Ethernet, virtuálne sieťové zariadenia, Wi-Fi. Rovnaké programátorské rozhranie na rôznych operačných systémoch. Pokročilé filtrovanie paketov založené na BPF (Berkeley Packet Filtering), implementovaného do kernelu operačného systému pre lepší výkon [1]. 1

10 2. Analýza problému Úlohou práce je navrhnúť a implementovať sieťovú aplikáciu na monitorovanie komunikácie v sieti. Program umožní zachytenú komunikáciu štatisticky vyhodnotiť, vďaka čomu bude možné rýchlo odstrániť vzniknutú chybu v sieti, a uľahčí tak prácu administrátora a popritom ušetrí aj finančné náklady, ktoré by sme museli investovať do drahého monitorovacieho nástroja. Spoľahlivosť, bezpečnosť a rýchlosť siete môže byť zabezpečená jedine vtedy, ak je v správnej údržbe. Práve pri nej má pomôcť aj navrhnutá aplikácia. Táto aplikácia bude mať prístup k sieti, vďaka čomu bude možné zachytávanie paketov a ich následná analýza. Na správne pochopenie a návrh aplikácie je potrebné určiť pár základných vecí: 1. Ako prebieha komunikácia? 2. Ako zachytiť komunikáciu? 3. Ako analyzovať zachytenú komunikáciu? 4. Ako vyhodnotiť výsledky analýzy? 2.1 Počítačové siete Prakticky od počiatku vzniku počítačov bolo potrebné riešiť ich vzájomné prepojenie do siete. Hlavným dôvodom, pre ktorý sa siete zriaďujú býva výmena informácií medzi zamestnancami v rámci podniku, medzi podnikom a partnermi i medzi podnikom a zákazníkmi. Samozrejme najznámejšia počítačová sieť, Internet, slúži nielen na výmenu informácií medzi podnikmi, ale taktiež na zábavu, a komunikáciu na veľké vzdialenosti. Siete takto sprostredkúvajú získavanie, triedenie a sústreďovanie elektronických informácií, prevod papierových dokumentov do elektronickej podoby a ich spracovanie a prístup k veľkému množstvu aplikácií v rámci podniku. Dnešná elektronická komunikácia sa neobmedzuje iba na prenos textových dokumentov, ale aj na prenos obrazových či zvukových informácií. Integrácia textových, obrazových aj zvukových prenosov umožňuje plné využívanie internetu ako komunikačnej technológie dnešnej doby na získavanie a šírenie informácií [2]. 2

11 2.1.1 Dôvody zavádzania počítačových sietí Počítačové siete prinášajú v porovnaní so samostatnými počítačmi niekoľko zásadných výhod. Najvýznamnejšie z nich sú: zdieľanie údajov, zdieľanie prostriedkov, zvýšenie spoľahlivosti systému. Zdieľanie údajov je najvýznamnejší dôvod pre zavádzanie počítačových sietí. Ide o to, že potrebné dátové súbory môže spracovávať viac používateľov súčasne. Je to umožnené tým, že dátové súbory sú uložené na serveroch siete a pripojení používatelia majú k nim prístup. Zdieľanie prostriedkov umožňuje pracovným staniciam spoločne používať prostriedky siete, ktoré ponúkajú servery siete. Najčastejšie ide o zdieľanie diskov, keď lokálne disky pracovných staníc nemajú dostatočnú kapacitu a zdieľanie tlačiarní. Zvýšenie spoľahlivosti systému znamená ďalšiu výhodu, ktorú siete poskytujú. V súvislosti so zdieľaním prostriedkov je možné, napríklad, v prípade poruchy sieťovej tlačiarne nahradiť ju inou a systém môže pracovať ďalej. Ak má používateľ svoje programy a údaje uložené na serveri, je možné v prípade poruchy pracovnej stanice pokračovať v práci na inej pracovnej stanici. Základné delenie podľa rozlohy siete: - lokálne siete LAN (Local Area Network) miestna počítačová sieť (niekoľko desiatok uzlov - pracovných staníc, serverov a sieťových periférnych zariadení) v rámci jednej alebo viacerých susedných budov, - metropolitné siete MAN (Metropolitan area Network) mestské aglomerácie, - rozľahlé siete WAN (Wide Area Network) niekoľko miest alebo celé štáty [2] [3] Komunikácia v počítačovej sieti Internet protocol suite, bežne označovaný ako TCP/IP, je súbor komunikačných protokolov, kde hlavné sú protokoly Transmission Control Protocol (TCP) a Internet Protocol (IP) [4]. 3

12 TCP/IP model Klasický štvorvrstvový TCP/IP model, niekedy nazývaný ako Internet Reference Model, vychádza z OSI modelu, ale viac sa blíži k praxi. Obr. 1: Porovnanie OSI modelu s TCP/IP modelom Niekedy sa najnižšia vrstva TCP/IP modelu rozdeľuje na dve časti. Na vrstvu fyzickú (Physical Layer) a vrstvu linkovú (Data link). Encapsulácia pri odosielaní dát Pri odosielaní dát sa vykoná encapsulácia (zapuzdrovanie - zabaľovanie) od najvyššej vrstvy dole. Prebieha to tak, že aplikácia zoberie dáta (aplikačná vrstva), ktoré chce odoslať inej stanici a doplní ich o aplikačnú hlavičku. Tieto dáta pošle nižšej vrstve (transportnej), ktorá odosielané dáta rozdelí na segmenty, zabalí a pridá TCP (alebo UDP) hlavičku a vytvorí TCP segment. Ďalšia vrstva (sieťová) doplní IP hlavičku a takto vznikne IP paket (niekedy označovaný ako IP datagram). V poslednej vrstve (vrstva sieťového rozhrania) sa k paketu pridá ethernetová hlavička na začiatok a trailer na koniec, ten obsahuje FCS (Frame Check Sequence) - kontrolný súčet (často sa pre jeho výpočet používa CRC - cyclic redundancy check). Takto v poslednom kroku vznikne ethernetový rámec (ethernet frame), ktorý sa vysiela na komunikačné médium. 4

13 Keď cieľové zariadenie príjme dáta, vykoná sa obrátený postup deencapsulácia (rozbaľovanie) od najnižšej vrstvy smerom hore a cieľová aplikácia dostane odosielané dáta. Paket vs. rámec V súvislosti s dátami a ich prenosom po sieti sa používajú dva dôležité termíny, sú to paket a rámec. Tieto termíny sú často používané v literatúre, na internetu, i v praxi. Bohužiaľ v literatúre existuje niekoľko odlišných vysvetlení a taktiež používanie týchto výrazov je rôzne. Najviac záleží na technológií, u ktorej sa používajú (podobné termíny sa používajú napr. u sériovej komunikácií). Uvádzam vysvetlenie týchto termínov, ktoré sa mi zdali byť najsprávnejšie. Paket (packet) v preklade znamená balíček a ide o formátovaný blok dát, ktorý sa prenáša v počítačovej sieti. O paketoch sa hovorí v súvislosti so sieťovou vrstvou. Paket obsahuje IP adresu, ďalšie atribúty a dáta. Zabalí sa do rámce a následne putuje sieťou. Rámec (frame) je to, čo skutočne putuje v sieti. Rámce vznikajú až na fyzickej vrstve sieťového rozhrania. Názov naznačuje, že sa skôr než o objekt jedná o časový úsek. Rámcov existuje viac typov, najpoužívanejší je Ethernet II, ktorý vie prenášať TCP/IP i IPX/SPX. Maximálna veľkosť dát prenášaných v rámci (teda veľkosť paketu) je daná pomocou MTU (Maximum transmission unit) a viaže sa k linkové vrstve. Štandardná veľkosť MTU v ethernetu je bytov. Na začiatku komunikácie sa zariadenie pomocou ICMP dohovorí na veľkosti MTU. Ak vyžaduje druhá strana menšie MTU, môže sa vykonať fragmentácia - rozdelenie rámca do viacej menších. Fragmentáciu je možné zakázať príznakom v hlavičke paketu. Ak je fragmentácia zakázaná a druhá strana akceptuje len menšie MTU, tak odpovie chybou ICMP. Vo všeobecnej terminológií sa používa označenie Protocol Data Unit (PDU), čo je dátová jednotka na ľubovoľnej vrstve (IP paket, rámec...). Keď sa PDU pošle na nižšiu vrstvu, tak sa označuje ako Service Data Unit (SDU), tam sa doplní o Protocol Control Information (PCI), teda hlavičku, a vznikne nové PDU. Formát paketu - rámca Základný tvar rámca je hlavička (header), dáta (payload) a zakončenie (trailer). Dáta sú zložené zo zapuzdrených dát vyšších vrstiev. Na obr.2 sú znázornená štyri vrstvy TCP/IP 5

14 modelu spolu s hrubým formátom dát, ako sú zapuzdrované zhora dole. Uvedený príklad je pre protokol TCP, ale obecný model je zhodný. Ethernet rámec Obr. 2: Priebeh zapuzdrenia Ethernet rámec obsahuje zdrojovú a cieľovú MAC adresu (fyzickú adresu od hopu k hopu) a typ/dĺžku. Typ v hlavičke určuje aký protokol je použitý na vyššej vrstve (IP, ARP, atď.). Pre rozlíšenie jednotlivých rámcov sa na začiatku vysiela špeciálny úvod (preambula) zložená zo sekvencie striedajúcich sa jednotiek a núl a SFD - oddeľovač začiatku rámca [5]. Obr. 3: Zloženie Ethernet rámca 2.2 Spôsob zachytávania a analýzy paketov pcap je programátorské rozhranie API pre odchytávanie sieťovej komunikácie (packet capturing). Implementácia systému pcap pre Unixové systémy sa nazýva libpcap; port pre Windows je WinPcap [6]. Winpcap je knižnica, ktorá umožňuje pristupovať k sieti a sieťovým zariadeniam. Štandardná API síce umožňuje pracovať s transportnou i IP vrstvou modelu TCP/IP, avšak programátor často potrebuje nahliadnuť i do nižšej vrstvy, a to ide cez bežné API veľmi ťažko a zložito (ak sa to vôbec dá). V tejto chvíli je čas na WinPcap [7]. 6

15 Aplikačné programy môžu používať WinPcap na odchytávanie sieťovej komunikácie (paketov) prechádzajúcich cez (resp. prichádzajúcich na) dané zariadenie prostredníctvom počítačovej siete. Novšie verzie dokážu vysielať vytvorené, resp. odchytené pakety do počítačovej siete. Tiež dokážu vypísať zoznam sieťových rozhraní použiteľných na spomenuté účely. Dokáže zo segmentu siete aj odchytávať pakety, ktoré nie sú adresované danému zariadeniu, sieťová karta však musí byť v promiskuitnom režime. libpcap aj WinPcap používajú mnohé otvorené aj komerčné sieťové aplikácie[6], ide najmä o analyzátory sieťových protokolov (protocol analyzers), monitory siete (network monitors), systémy na detekciu prieniku do siete (NIDS), odchytávače paketov (packet sniffers), generátory sieťovej prevádzky (traffic generators) a testery siete (network testers). Tieto systémy dokážu pracovať s formátom súborov pcap. V tomto formáte ukladá sieťovú komunikáciu od úrovne spojovej vrstvy (vrátane) ISO/OSI vyššie. Programy založené na spomínaných knižniciach dokážu vytvárať aj čítať spomenuté súbory. Dokážu teda verne zachytávať a ukladať sledovanú sieťovú komunikáciu a neskôr sa k nej vrátiť za účelom jej ďalšej analýzy, prípadne opätovnej simulácie diania v sieti. API je použiteľné v jazykoch ako C a C++, iné jazyky používajú modifikovaná verzie libpcapu/winpcapu. Treba však dodať, že tvrdenie, že pcap knižnica je určená na odchytávanie paketov, nie je úplne pravdivé. Totižto pri ochytávaní sa zapíše aj kúsok z hlavičky Ethernetového rámca, konkrétne zdrojová a cieľová MAC adresa. Zachytený paket je možné ďalej s ľahkosťou analyzovať, napr. pomocou SharPcap [8] knižnice (modifikovaná verzia WinPcapu), ktorá je určená hlavne pre.net platformu. Najnovšie verzie programovacích jazykov pracujú práve na tejto platforme, kde stačí jednoduchý príkaz na získanie dát zo zachyteného paketu pomocou vyššie spomínanej knižnice. 7

16 2.3 Štatistika Štatistika je definovaná ako vedu o metódach kvantitatívneho hodnotenia vlastností hromadných javov. Slovo štatistika sa však nepoužíva iba v tomto zmysle - bežne sa s ním stretávame v troch významoch. Označuje sa ním: praktická činnosť, spojená so získavaním údajov o hromadných javoch, štatistických dát, ich spracovaním a vyhodnocovaním, štatistické dáta, t. j. údaje o hromadných javoch, bezprostredne získané pozorovaním alebo z nich vypočítané charakteristiky, vedná disciplína, ktorá sa zaoberá vysvetľovaním metód skúmania a vyhodnocovania údajov o hromadných javoch - štatistických dát. Z definície štatistiky ako vednej disciplíny vyplývajú jej určité príznačné črty: a) Štatistika narába s hromadnými javmi. Jednotlivé (individuálne) vystupuje iba ako špecifický prejav hromadného javu, pričom hromadný jav nemožno chápať iba ako jednoduchý súčet individuálnych prvkov. Ako celok má taká kolektivita svoje vlastnosti, odlišné od vlastností jednotlivcov (elementov). Napríklad obyvateľstvo štátu ako celok má svoje osobitné vlastnosti, ktoré sa nedajú získať interpretáciou z vlastností jednotlivých obyvateľov. b) Popri všetkých zvláštnostiach, premenlivosti (variabilite) v individuálnych prejavoch hľadá štatistika pravidelnosti či zákonitosti javov a procesov. Poznať tieto zákonitosti možno iba na základe znalosti dostatočne veľkého počtu individuálnych prípadov, teda na základe hromadného pozorovania. Hromadné pozorovanie je pre štatistiku typické. c) Štatistika hodnotí javy a procesy kvantitatívne, t. j. základnou formou vyjadrovania (merania) vlastností hromadných javov je číselné (numerické) vyjadrenie. Z toho vyplýva, že štatistika hojne využíva pri skúmaní hromadných javov matematický aparát [9]. 8

17 2.3.1 Základné pojmy Predmetom štatistického skúmania je hromadný jav. Jednotlivý jav je zaujímavý iba ako súčasť, elementárna zložka hromadného javu. Napríklad ak je zachytený jediný paket z komunikácie prebiehajúcej na sieti, tak sa nedá o tej komunikácií ešte nič povedať. Je nutné skúmať dostatočne veľký počet prípadov, treba robiť hromadné pozorovanie. Hromadnosť pozorovania je nevyhnutným predpokladom každého štatistického skúmania. Hromadný jav nadobúda mnoho konkrétnych foriem - skladá sa z mnohých individuálnych javov. Nositelia týchto individuálnych javov sa nazývajú štatistickými jednotkami Štatistická jednotka je základný prvok, na ktorom možno skúmať konkrétny prejav určitého hromadného javu a je základným a presne vymedzeným objektom pozorovania. V prípade tejto práce bude táto štatistická jednotka zachytený paket. Štatistické jednotky v súhrne vytvárajú štatistický súbor. Štatistický súbor je množina štatistických jednotiek, z ktorých každá vyhovuje určitým vlastnostiam, spoločným všetkým jednotkám daného súboru a vymedzujúcim tak štatistický súbor z hľadiska časového, priestorového a vecného, pričom v ďalších vlastnostiach sa štatistické jednotky môžu líšiť. Napr. Zachytávanie paketov za určitý čas, alebo z určitého portu, atď. Podľa metód spracovania dát sa člení štatistika na dve základné súčasti. Rozlišuje sa popisná a induktívna štatistika. Obsahom popisnej štatistiky je, ako to vyplýva aj z jej názvu, popisným spôsobom charakterizovať štatistický súbor. Používajú sa k tomuto účelu rôzne metódy (zisťovanie početnosti alebo frekvencie výskytu, určovanie mier stredu, mier variability atď.). Na tomto mieste pre ilustráciu je uvedených len niekoľko výstupov popisnej štatistiky: pri 100 hodoch mincou padol rub mince 58 krát a lícna strana mince 42 krát, priemerná známka v skúmanej školskej triede je 2.85, z 1000 pančúch boli tri chybné, priemerná škoda pri dopravných nehodách v roku 1999 bola Sk.- v decembri sa v mestskej pôrodnici narodilo 55 chlapcov a 45 dievčat. 9

18 Popisná štatistika umožňuje z veľkého počtu údajov, v ktorých by sa len ťažko orientovalo, hutne prezentovať základné dáta o štatistickom súbore. Pri výskume je bežné, že sa na tejto úrovni sleduje napr. zloženie výskumnej vzorky, možné preferencie niektorých odpovedí. V neposlednej miere je úlohou popisnej štatistiky pripraviť pôdu pre ďalšie spracovanie údajov na úrovni induktívnej štatistiky. Induktívna štatistika je v priamej súvislosti s prijímaním záverov a rozhodovaním sa. Formuluje kritéria, na základe ktorých, pomocou určitých mier pravdepodobnosti, je možné formulovať pravidelnosti v pozorovaných javoch. Opäť je uvenených pre ilustráciu niekoľko príkladov výrokov typických pre induktívnu štatistiku: pri 100 hodoch mincou padol rub mince 58 krát a lícna strana mince 42 krát. Opodstatňujú nás tieto údaje urobiť záver, že hráč hádzal mince falošne? je lepší priemerný prospech v skúmanej triede, než v ostatných triedach, spôsobený vyučovacou metódou? vyžaduje si počet chybných pančúch nejaké systematické opatrenie? je nárast hodnoty škôd spôsobených dopravnými nehodami od minulého roku náhodný, alebo je spôsobený určitým systematickým vplyvom? je rozdiel v počte narodených chlapcov a dievčat náhodný, alebo je spôsobený určitou príčinou? súvisí počet odtrénovaných jednotiek s počtom gólov strelených v zápase? Štatistické charakteristiky Štatistickými charakteristikami sú nazývané veličiny, ktoré poskytujú stručnú číselnú informáciu o všetkých údajoch štatistického súboru. V opisnej štatistike sú definované dve základné skupiny týchto charakteristík: miery stredu (stredné hodnoty, miery centrálnej tendencie) - miery, ktoré označujú polohu rozdelenia na vodorovnej osi, charakteristiky polohy, miery variability - miery rozptýlenia, premenlivosti rozdelenia údajov. Vrámci tejto práce bude zaujímavá hlavne skupina miera stredu. 10

19 Miery stredu Najdôležitejšou charakteristikou centrálnej tendencie je aritmetický priemer Aritmetický priemer (x, AM, M) je definovaný ako súčet nameraných hodnôt delený ich počtom. - - odvodeniach dôležitých vzťahov. - Výpočet priemeru je založený na všetkých nameraných hodnotách. Medián (x~, Me, Q 2 ) je hodnota z radu hodnôt zoradených podľa veľkosti, ktorá delí tento rad na polovice. Poradie mediánu v súbore dát zoradených podľa veľkosti vieme určiť (a tak si uľahčiť výpočet), a to podľa vzorca: Modus (x_, Mo) je definovaný ako hodnota, ktorá sa v určitom rozdelení vyskytuje najčastejšie. Porovnanie mier stredu Odporúča sa uprednostniť pri výpočtoch, ak to podmienky dovoľujú, výpočet aritmetického priemeru, a to z nasledovných dôvodov: je jednoznačný a ľahko vypočitateľný, pri veľkom n dáva spoľahlivé odhady parametrov základného súboru[10] Hore uvedené poznatky budú využité pri vyhodnocovaní výsledkov analýzy v navrhnutej aplikácií. 11

20 2.4 Existujúce riešenia Na trhu existuje mnoho riešení danej problematiky, od jednoduchých sledovačov sieťovej prevádzky až po komplexné analyzátory siete. Bolo treba nájsť a porovnať také riešenia ktoré poskytujú používateľovi komplexné štatistiky o sieťovej prevádzke. Ďalej je uvedených niekoľko existujúcich riešení danej problematiky Wireshark Wireshark[11] je program na odchytávanie paketov priamo zo sieťovej karty, ktorý dokáže sledovať sieťovú prevádzku, teda komunikáciu medzi počítačmi v sieti. Odchytené pakety vie analyzovať a vyhodnocovať. Pomocou snifferov sa dajú ľahko odhaliť bezpečnostné problémy v sieti. Wireshark je určený pre všetkých, ktorí sa snažia hlbšie preniknúť do problematiky sietí, ale asi najviac na pomoc vývojárom, bezpečnostným technikom a administrátorom. Vlastnosti programu Wireshark: - podpora takmer všetkých protokolov - odchytávanie komunikácie - zobrazovanie paketov s podrobnými informáciami o protokoloch - prepracované filtrovanie na odchytávanie vybraných typov dát Obr. 4: Hlavné okno aplikácie Wireshark 12

21 Odchytávanie paketov Keďže Wireshark sa zakladá na knižnici WinPcap, tak aj formát odchytených paketov je taký, ako bolo vyššie spomenuté, čiže okrem samotného paketu sa zachytí aj cieľová a zdrojová MAC adresa. Na začiatku si treba určiť, z ktorého zariadenia bude program zachytávať pakety. Potom stačí spustiť zachytávanie a program začne vypisovať na obrazovku všetky pakety ktoré prejdú daným zariadením (obr. 3) Obr. 5: Okno po spustení odchytávania paketov Ako je naznačené na obr.5 odchytené pakety sú farebne odlíšené podľa typu protokolu. V hlavnom okne sú vypísané základné informácie o odchytených paketoch. A to: - poradové číslo paketu 13

22 - čas v sekundách, ktorý uplynul od začiatku zachytávania - zdrojovú IP, príp. MAC adresu - cieľovú IP, príp. MAC adresu - protokol Ak používateľ chce zistiť podrobnejšie informácie, musí kliknúť na konkrétny riadok a v dolnej časti okna sa mu zobrazí strom vlastností, ktorý môže ďalej pootvárať. Nachádzajú sa tam všetky informácie, ktoré boli zistené pri analýze. Úplne dole sa nachádza tzv. surový formát paketu (raw format). Tu je celý paket zobrazený v hexadecimálnom tvare, kde jedna dvojica hexadecimálnych čísiel určuje jeden byte. Wireshark podporuje okrem mnohých iných funkcií aj podrobnú štatistiku z odchytených paketov. Ako napr. rozdelenie podľa zdrojovej, cieľovej IP alebo MAC adresy. Podľa protokolov TCP alebo UDP, prípadne iných. Výpis všetkých prebiehajúcich komunikácií, atď. Výsledky sa dajú vypísať v percentuálnom vyjadrení, alebo graficky (obr. 4) Obr. 6: Rôzne štatistiky z programu Wireshark 14

23 Zhrnutie Wireshark je veľmi užitočný a silný nástroj na analýzu sieťovej prevádzky, aj preto je taký obľúbený medzi administrátormi sietí. Bolo ukázané ako prebieha analýza paketov, a zopár štatistík z tejto analýzy. Aplikácia však poskytuje oveľa viac funkcií, ktoré však pre túto prácu nie sú až také dôležité DU Meter DU Meter[12] (DU Download Upload), ako aj názov napovedá, je program určený hlavne na monitorovanie prijatých a odoslaných údajov. Program sa spustí hneď po spustení operačného systému (dá sa nastaviť aby sa spúšťal manuálne), a pokračuje v pohotovostnom režime. Vtedy sa ukazuje len ako malá ikonka na taskbare. Obr. 7: Ikonka na taskbare Po kliknutí na túto ikonku sa nám zobrazí hlavné okno programu. Tu je znázornené aktuálne zaťaženie siete. Konkrétne rýchlosť odosielania a prijímania dát. Na prvý pohľad sa zdá byť program úplne jednoduchý, avšak poskytuje rozsiahle štatistiky o prevádzke. Používateľ si môže zvoliť rôzny časový úsek, prípadne iné filtre, a program mu graficky znázorní výsledky. 15

24 Obr. 8: Hlavné okno programu DU Meter Ďalšou možnosťou je nastaviť si alarm pre určité množstvo prenesených dát. Je to výhoda, ak má používateľ obmedzený internet a potrebuje si kontrolovať prečerpanie predplatených dát. Potom si nastaví požadované množstvo dát na časový úsek a program sa postará o to, aby bol používateľ včas informovaný, prípadne sa dá nastaviť aby sa sám odpojil od siete. Obr. 9: Rozsiahle a podrobné štatistiky[12] 16

25 Zhrnutie DU Meter je určený hlavne pre ľudí ktorí musia sledovať množstvo prenesených dát cez sieť, prípadne potrebujú vidieť rýchlosť prenášania dát v reálnom čase. Je vhodný najmä na domáce použitie Distinct Network Monitor Distinct Network Monitor[13] je program určený na analýzu a vyhodnotenie prevádzky počítačovej siete. Je schopný zachytiť celkovú prevádzku siete, ak je prepojený cez rozbočovač na smerovač. Program pracuje na báze prídavných modulov, kde hlavná časť je určená najmä na zachytávanie paketov, a moduly na vyhodnotenie nazbieraných dát. Obr. 10: Network Monitor[13] Modul štatistickej analýzy Modul štatistickej analýzy umožňuje získať kompletný obraz o reálnej prevádzke na sieti pre ktorýkoľvek sieťový segment, ktorý je monitorovaný. Tento modul umožňuje zobraziť nasledujúce veci: 1. Zoznam IP, ktoré sú aktívne na danom segmente siete, ukazujúc množstvo dát poslaných a prijatých z tejto IP adresy 17

26 2. Množstvo prenesených dát rozdelené podľa aplikačných protokolov. Pri kliknutí na konkrétny protokol sa ukáže zoznam IP adries, ktoré generujú danú prevádzku 3. Zoznam IP protokolov a pre každý protokol zvlášť aj množstvo prenesených dát 4. Zoznam sieťových protokolov, napr. IP, NetBEUI, a množstvo nimi prenesených dát 5. Šírku pásma, ktoré dané zariadenie využíva 6. Zoznam aktívnych MAC adries na danom segmente. Celkové množstvo paketov a bytov ktorá boli prijaté/poslané z danej MAC adresy. Táto štatistika zahrňuje všetky pakety, jedno či boli poslané cez Ethernet alebo Token Ring. 7. Sumarizáciu celej štatistiky. Modul ReportBuilder Modul štatistickej analýzy je určený na sledovanie prevádzky v reálnom čase, avšak ak je potrebné získať väčší prehľad o komunikácií v sieti, treba spúšťať analýzu viackrát, prípadne pravidelne v určených časových intervaloch. Na tento účel slúži modul zvaný ReportBuilder, ktorý vyhodnocuje dáta získané Network Monitorom. Umožňuje používateľovi ukladať získané štatistiky podľa toho, kedy boli dáta zachytené. Potom sa údaje ukladajú do Microsoft Access databázy. Maximálna veľkosť uloženého súboru je 2GB - (stovky hodín zachytenej komunikácie). Pomocou ReportBuilder-u je možné vypísať analyzované dáta podľa nasledujúcich parametrov: 1. Top najčastejšie komunikujúcich IP adries, pomocou čoho zistíme kde je sieť najviac zahltená. 2. IP prevádzka podľa protokolov, možnosť vypísať priebeh komunikácie každého páru, vrátane použitých protokolov. 3. Štatistika podľa aplikačných protokolov, ukazujúca komunikujúce páry. 4. Výpis sieťových protokolov, ukazujúc ktoré MAC adresy sú najviac aktívne. 5. Prevádzka rozdelená podľa MAC adries, ukazujúca kompletnú tabuľku MAC adries, vrátane tých, ktoré nepoužili IP protokoly. 6. Šírka prenosového pásma v danom segmente podľa sieťového zariadenia. 7. Štatistika sieťovej karty, vrátane počtu kolízií, chýb, pretečení atď. 8. Sumarizáciu celkovej štatistiky. Ďalej je možné aplikovať širokú škálu filtrov na nazbierané dáta. Všetky výsledky sa dajú ľahko exportovať do HTML formátu. 18

27 Obr. 11: Dáta exportované do HTML formátu pomocou ReportBuilder-u Zhrnutie Distinct Network Monitor poskytuje komplexné štatistiky prevádzky siete. Je prispôsobivý vďaka rôznym modulom, ktoré sa dajú dopĺňať podľa potreby užívateľa. Avšak zároveň sa zdal byť aj najmenej prehľadný z testovaných aplikácií Porovnanie V predchádzajúcej časti boli ukázané niektoré existujúce riešenia na trhu. Pre úplnú prehľadnosť testovaných programov sú zapísané niektoré ich vlastnosti do tabuľky a porovnané medzi sebou. Boli použité tri stupne hodnotenia, a to: 1. Podporuje/spĺňa úplne 2. podporuje/spĺňa čiastočne 3. nepodporuje/nespĺňa vôbec 19

28 V tabuľke sú zapísané vo forme ÁNO, ČIASTOČNE, NIE. Vlastnosť Wireshark DU Meter Distinct Network Monitor Je dostupný zadarmo ÁNO ČIASTOČNE ČIASTOČNE Prehľadnosť ÁNO ÁNO NIE Podrobná analýza paketu ÁNO NIE ÁNO Komplexné štatistiky ÁNO ČIASTOČNE ÁNO Vykreslenie grafov ČIASTOČNE ÁNO ÁNO Filtre pre zachytávanie ÁNO ČIASTOČNE ÁNO Export výsledkov do rôzných formátov ČIASTOČNE ÁNO ČIASTOČNE Tab. 1 : Porovnanie troch existujúcich riešení 20

29 3. Špecifikácia požiadaviek Úlohou práce je vytvoriť aplikáciu na monitorovanie a štatistické vyhodnotenie komunikácie v počítačovej sieti. Program by mal byť jednoduchý a prehľadný, ale zároveň musí spĺňať aj zadanie. Ovládanie by malo byť intuitívne, takže program bude mať grafické prostredie. Funkcionalita je tiež veľmi dôležitá, používateľ by mal mať možnosť nastaviť si program podľa svojej potreby. Na to bude slúžiť menu, prípadne tlačidlá v hlavnom programe. Ďalej musí byť schopný zachytávať a analyzovať pakety, a to v reálnom čase, prípadne zo súboru a následne z nazbieraných dát v určitej forme vypísať výsledky. Tieto výsledky budú zakreslené do grafu. Ďalej uloženie výsledkov je dôležité pre neskoršie porovnávanie, prípadne kontrolu analýz. Keďže bude použitá knižnica pcap, tak program by mal podporovať ukladanie zachytenej komunikácie v tomto formáte. Čím viac výstupných formátov, tým lepšie. Samozrejmosťou by mali byť aj filtre, aby si používateľ mohol vybrať, čo konkrétne chce zachytávať, prípadne vypísať. Najlepšie by bolo, keby program vedel odhaliť niektoré chyby na sieti. Podľa možností by sa dala implementovať funkcia na vykreslenie celej topológie daného segmentu. Takže základné požiadavky budú: - podpora rôznych sieťových zariadení, a možnosť vybrať si z ktorého sa má uskutočniť zachytávanie - zachytávanie paketov zo siete - analýza zachytených paketov v reálnom čase, alebo analýza zo súboru - podpora formátu pcap, ako pre vstup, tak i pre výstup - vypísanie výsledkov analýzy v grafickej a textovej podobe - export týchto výsledkov do rôznych formátov (Excel, HTML, textový súbor, atď...) - odhalenie najkritickejších častí siete s najväčším zahltením - možnosť nastavenia automatického zachytávania paketov v určitom čase, prípadne časových intervaloch Okrem týchto špecifikácií musí aplikácia spĺňať aj niektoré všeobecné požiadavky: - Funkcionalita Program musí bude obsahovať rôzne nastavenia, ktoré dajú používateľovi možnosť prispôsobiť si aplikáciu podľa vlastných potrieb. Od vzhľadu grafického prostredia až po podrobné nastavenia zachytávania paketov. 21

30 - Správnosť Výsledky analýzy budú vypočítané použitím uvedených štatistických výpočtov, ktoré zaručujú správnosť údajov. - Použiteľnosť Program bude možné použiť v akejkoľvek sieti, ktorá pracuje na báze TCP/IP modelu. - Jednoduchosť Ovládanie bude intuitívne, používateľ nebude prinútený rozmýšlať nad ďalším krokom. Na väčšinu funkcií bude dostupných viac tlačidiel. 22

31 4. Návrh Na zachytávanie paketov zo siete bude najlepšie použiť knižnicu WinPcap. Konkrétne modifikovanú verziu s názvom SharpPcap. A to z toho dôvodu, lebo ide o knižnicu, ktorá podporuje.net platformu. Je teda dostatočne moderná, ale zároveň aj jednoduchá z programátorského hľadiska. Umožňuje jednoduchými, predprogramovanými funkciami zistiť rôzne atribúty zachytených paketov. Vďaka tomu nie je potrebná podrobná analýza paketu v surovom formáte. Týmto sa nielen uľahčí práca programátora, ale zvýši sa aj efektivita aplikácie. Jediná nevýhoda je nutnosť použitia.net platformy, avšak v dnešnej dobe je táto platforma tak rozšírená, že by to nemal byť problém. Aplikácia bude rozdelená na rôzne bloky (obr 12.). Tieto časti programu budú vykonávať samostatné, súvisle bežiace činnosti. A to: Zachytávanie paketov Tieto pakety sa musia uložiť do pomocného poľa v programe, kvôli ďalšiemu spracovaniu. Zachytávanie začne v momente ako si používateľ vyberie konkrétne sieťové zariadenie, podobne ako v programe WireShark. Tento blok potom zachytené pakety pošle ďalej na analýzu. V tomto bloku budú aj aplikované filtre na zachytávanie. Napr. ak si používateľ zvolí, že chce zachytávať len TCP komunikáciu, tak všetky ostatné komunikácie prebiehajúce na ostatných protokoloch sa zahodia. Analýza paketov Postupne sa budú prijímať pakety určené na analýzu. Z každého z nich sa pomocou funkcií knižnice SharpPcap vytiahnu dáta. Analýza bude kompletná a nemenná. To znamená, že každý paket určený na analýzu prejde tou istou funkciou. Analýza nebude až taká podrobná ako prípade programu WireShark. Získané dáta sa pošlú ďalej na vyhodnotenie. Vyhodnotenie analýzy Pomocou štatistických metód, ako aritmetický priemer, modus, medián, apod. sa vyhodnotia analyzované údaje, a urobí sa kompletný prehľad celej zachytenej komunikácie. Používateľ bude mať možnosť si vyberať a aplikovať rôzne filtre na 23

32 výpis výsledkov, ktoré sa mu zobrazia buď v textovej forme percentuálny podiel, alebo graficky vykreslenie grafu. Grafické prostredie Program sa bude najviac podobať aplikácií Wireshark, kde v reálnom čase budú zobrazené zachytené pakety, ktoré vyhovujú nastavených zachytávacím filtrom. Napr. zachytávanie len TCP paketov, alebo zachytávanie len z určitej IP alebo MAC adresy, atď. Tento blok sa využije aj v prípade vypísania výsledkov. Tieto výsledky budú znázornené graficky na obrazovke, a nebude chýbať ani percentuálne vyjadrenie jednotlivých parametrov. Používateľ bude mať možnosť aplikovať filtre aj na výpis výsledkov. Napr. vypísanie paketov len z určitej IP alebo MAC adresy, atď. Grafické prostredie Grafické prostredie Zachytenie paketov Analýza paketov Aplikovanie filtrov Vyhodnotenie analýzy Aplikovanie filtrov Obr. 12: Bloková schéma aplikácie 24

33 Používateľ spustí zachytávanie Zachytenie paketu Analýza paketu Sú nastavené filtre? Aplikovanie filtrov Uloženie paketu do poľa Výpis paketov na obrazovku Obr. 13: Vývojový diagram pre zachytávanie a výpis paketov Na obr 13. je znázornený priebeh zachytávania a následne vypísania paketov na obrazovku. Kľúčovým procesom je analýza paketov, kde sa zistia potrebné parametre paketu na to, aby sa dali naňho aplikovať nastavené filtre. Potom sa vypíšu na obrazovku len pakety, ktore vyhovujú daným filtrom. Pritom sa aj rovno uložia to pomocného poľa v programe. Pri vypísaní výsledkov je situácia podobná, len stačí vytiahnuť zachytené pakety z poľa, a následne aplikovať na ne filter. 25

34 4.1 Použitie Program bude slúžiť na zachytávanie paketov v reálnom čase, alebo zo súboru a následne na analýzu zachytených paketov. Výsledky budú interpretované používateľovi graficky alebo textovo. Tieto výsledky sa budú dať exportovať na prípadné ďalšie spracovanie. Obr. 14: Model prípadov použitia 26

35 4.2 Hlavné časti programu Program sa dá rozdeliť na 3 hlavné časti : Zachytávanie paketov základná časť, ktorá zabezpečí, aby sa načítali vzorky, ktoré bude možné ďalej spracovať. Analýza paketov podrobné rozpitvanie paketov, t.j. zistenie IP adries, portov, veľkosti paketu, času zachytenia. Bude prebiehať vo viacerých fázach, podľa toho, čo bude práve program potrebovať. Výpis výsledkov výsledky budú interpretované ako graficky, tak aj textovo, v tabuľkách. Tieto výsledky bude možné uložiť do obrázkov, prípadne exportovať do súboru typu.csv, ktorý je kompatibilný s tabuľkovým editorom EXCEL. Všetky tieto časti môžu bežať súbežne a v reálnom čase Hlavná obrazovka Pri zachytávaní paketov bude zobrazené v hlavnom okne celý priebeh tohto procesu. Čiže každý paket, ktorý sa príjme prípadne sa odošle, tak bude zobrazený ako jeden riadok, ktorý bude obsahovať nasledujúce informácie: - Poradové číslo paketu - Cieľovú IP adresu - Zdrojovú IP adresu - Použitý protokol (ARP, TCP, UDP...) - Zdrojový port - Cieľový port - Poznámku podrobnejší opis paketu Porty budú zobrazené len pri TCP a UDP paketoch. Každý riadok, čiže vlastne každý paket, bude zobrazený so špecifickou farbou, ohľadom na to, o aký typ paketu ide. Napr. TCP paket žltá farba, UDP zelená, atď. Hlavné okno bude ešte obsahovať menu, v ktorom budú nasledujúce položky: 27

36 Súbor 1. Otvoriť - umožňuje otvoriť súbor so zachytenými paketmi, ktorý je vo formáte pcap/libpcap. 2. Zatvoriť - uloží zachytené pakety vo formáte pcap/libpcap. 3. Koniec - ukončí program. Vyhodnotenie 1. Celková štatistika vypíše základné informácie o zachytených paketoch, vykreslí graf 2. Koncové uzly výpis koncových uzlov, rozdelených podľa vrstvy OSI. Napr. MAC, IP, Protokol, atď. 3. Komunikácie výpis párov, ktoré komunikovali medzi sebou. 4. Graf vykreslenie komunikácie (počet bajtov za časový úsek) O programe Používateľ si bude môcť vybrať, či chce zachytávať pakety zo súboru, alebo priamo zo sieťovej karty. Je jedno, ktorú možnosť si vyberie, základný princíp je rovnaký. Rozdiel je v tom, že ak si vyberie možnosť zachytávania zo súboru, tak sa otvorí dialógové okno, kde určí, ktorý súbor sa má otvoriť. Potom program načíta súbor, a postupne pošle načítané pakety na virtuálne zariadenie, z ktorého ich program potom zachytí. Po prijatí paketu sa zapíše paket do poľa, a program ho analyzuje. Pri analýze sa vytiahnu nasledujúce údaje: - Použitý protokol (ARP, TCP, UDP...) Ak je to IP paket, tak: - Cieľová IP adresa - Zdrojová IP adres- Ak je to UDP alebo TCP paket, tak: - Zdrojový port - Cieľový port A nakoniec sa do poznámky zapíšu všeobecné informácie o pakete. Potom sa zobrazí v zozname na hlavnom okne, kde dostane svoje poradové číslo a farbu podľa použitého protokolu. Spustené zachytávanie bude môcť používateľ kedykoľvek prerušiť. Zachytené pakety môže taktiež uložiť do súboru, ktorý bude v pcap/libpcap formáte. Tým sa zachová kompatibilita s podobnými programami. 28

37 V dolnej lište bude zobrazený celkový počet paketov a rýchlosť zachytávania v paketoch/s. Obr.15: Procesný model pre zachytávanie paketov Nasledujúce obrázok znázorňuje priebeh analýzy paketov po prijatí. Získajú sa z paketu všetky potrebné informácie na ďalšie spracovanie. 29

38 4.2.2 Celková štatistika Obr.16: Procesný model pre analýzu paketov V tomto okne budú zobrazené všeobecné štatistiky o zachytených paketoch, a to: - celkový čas, ktorý uplynul medzi prvým a posledným zachyteným paketom - počet zachytených paketov - počet zachytených bajtov - počet IP,TCP, UDP, ICMP, ARP paketov a ich percentuálne podiely - celkové veľkosti IP,TCP, UDP, ICMP, ARP paketov a ich percentuálne podiely 30

39 Po otvorení toho okna hlavný program prepošle zoznam paketov. V cykle sa prejdú všetky pakety a zrátajú sa ich veľkosti. Zistí sa rovno aj ich celkový počet. Zapíše sa čas zachytenia prvého a posledného paketu, a potom sa tieto údaje vypíšu na okno. V ďalšej tabuľke bude znázornený percentuálny podiel jednotlivých protokolov. Ako graficky, tak aj číselne. Okno bude obsahovať aj moduly na vykreslenie grafov. Pridané bude aj tlačidlo na obnovenie údajov Koncové uzly Obr.17: Procesný model pre celkovú štatistiku Okno bude obsahovať ďalšie podokná, ktoré umožňujú používateľovi, aby si zvolil koncové uzly podľa nasledujúceho rozdelenia: - MAC adresy - IP adresy - TCP porty - UDP porty 31

40 Pri výbere jednej z daných kategórií sa zobrazia koncové uzly z danej oblasti s nasledujúcimi informáciami: - Celkový počet paketov - Celkový počet bajtov - Prijaté pakety - Prijaté bajty - Odoslané pakety - Odoslané bajty Takže ak napríklad vyberie IP adresy, tak budú zobrazené všetky IP adresy ktoré sa vyskytli v doteraz zachytených paketoch, či už cieľové, alebo zdrojové a budú k nim priradené vyššie uvedené informácie. Po otvorení tohto okna sa prepošle zoznam všetkých paketov. Keď používateľ klikne na tlačidlo Obnov, tak program začne analyzovať pakety, a rozdelí ich podľa úrovní OSI modelu. Do jednej tabuľky sa zapíšu všetky MAC adresy,a zrátajú sa všetky pakety, ktoré majú danú MAC adresu (cieľovú alebo zdrojovú). Zráta sa aj ich celková veľkosť, a či boli poslané, alebo prijaté z danej MAC adresy. Podobne sa zrátajú pakety aj pre ďalšie vrstvy OSI modelu, čiže podľa IP adresy, TCP a UDP protokolu (dvojica IP adresa + port) Komunikácie Podobne ako v prípade koncových uzlov, aj tu bude mať používateľ možnosť zvoliť si rôzne kategórie, podľa ktorých budú rozdelené jednotlivé komunikácie. - MAC adresy - IP adresy - TCP porty - UDP porty Rozdiel oproti koncovým uzlom je v tom, že v tomto prípade budú zobrazená komunikujúce páry. Preto s tým súvisia aj ďalšie informácie: - Stanica A - Stanica B - Celkový počet paketov 32

41 - Celkový počet bajtov - Počet paketov vyslaných stanicou A do stanice B - Počet bajtov vyslaných stanicou A do stanice B - Počet paketov vyslaných stanicou B do stanice A - Počet bajtov vyslaných stanicou B do stanice A Podobne ako pri okne s komunikáciami sa prepošle po otvorení tohto okna celý zoznam paketov, a začne analýza, v momente keď používateľ klikne na tlačidlo Obnov. Pakety sa rozdelia podľa MAC adries, IP adries a protokolov TCP a UDP. Rozdiel oproti oknu, kde sú zobrazené len koncové uzly je ten, že tu sa zobrazia všetky komunikácie, ktoré prebiehali. Pri MAC a IP adresách sú to dvojice cieľová a zdrojová adresa, pri TCP a UDP protokoloch budú pridané aj cieľové a zdrojové porty Graf Jedna z hlavných časťí programu. Bude umožňovať grafické znázornenie priebehu komunikácie, t.j. vykreslenie zachytených bajtov za daný časový úsek. Pomocou rôznych filtrov, ako napr. zdrojová/cieľová IP adresa, prípadne, zdrojový/cieľový port bude možné presne špecifikovať danú oblasť zachytených paketov, a vykresliť ich do grafu. Vykresľovanie bude môcť prebiehať buď v reálnom čase, alebo vždy po kliknutí tlačidla Obnov. Rozsah a krokovanie si bude môcť určiť používateľ. Na výber bude zobrazenie paketov v sekundovom, minútovom a hodinovom intervale. 0 až 100 s/min/hod dozadu. K dispozícií bude aj nástroj, ktorý umožní presúvanie sa v časovom intervale od začiatku zachytávania až po jeho koniec. Tým sa docieli, že používateľ bude mať možnosť vybrať si presne tú časť zachytávania, ktorú chce. 4.3 Výber programovacieho jazyka Výber implementačného prostredia je dôležitý krok pred samotnou implementáciou systému. Keď sa zvolí zle, môže to ovplyvniť nielen náročnosť implementácie, ale aj konečný program. Treba si zvážiť a porovnať, ktoré implementačné prostredie je najvhodnejšie. 33

42 Program by mal byť používateľsky príjemný, ľahký na ovládanie a pochopenie. Popri tom má ponúknuť širokú škálu možností, tak aby sa splnili požiadavky na systém. Ak by sa brala do úvahy len funkcionalita, tak by stačila aj konzolová aplikácia, avšak tá je ťažká na ovládanie. V dnešnej dobe sa používajú väčšinou už len objektovo orientované programovacie jazyky, ktoré ponúkajú oveľa viac možností, ako staršie, procedurálne jazyky. Napr. dedičnosť, vlákna, zapuzdrenie atď. Tieto jazyky väčšinou obsahujú aj nástroje na vytváranie používateľského rozhrania. Sú typu WYSIWYG (What You See Is What You Get Čo vidíš, to dostaneš). Čiže stačí si na grafickom rozhraní nakresliť ovládacie prvky, a neskôr k nim priradiť funkcie, ktoré majú vykonávať. Ďalej je tu podpora objektov, a možnosť použiť aj externé knižnice. Práca s objektmi je jednoduchá, ale veľmi účinná. Samotné objektovo orientované programovanie umožňuje zvýšiť efektivitu a bezpečnosť programu Platforma JAVA Java je objektovo orientovaný programovací jazyk. Je vyvíjaný spoločnosťou Sun. Jeho syntax vychádza z jazykov C a C++. Zdrojové programy sa nekompilujú do strojového kódu, ale do medzistupňa, tzv. byte-code, ktorý nie je závislý na konkrétnej platforme. Preto sa s ním môžeme stretnúť ako pod Linuxom, tak aj pod Windowsom. Existuje veľa foriem Javy, ktorá sú určené na rôzne účely. Napr. webovské aplikácie, aplikácie pre prenosné zariadenia, telefóny atď. Je to síce veľká výhoda, ale na druhej strane to spôsobuje to, že celé vykonávanie programu je pomalšie, neefektívne. Je to sčasti spôsobené aj tým, že Java nemá priamy prístup k pamäti, ako napr. C++. [14] Jazyk C++ Jazyk C++ je hybridný jazyk. Pretože je rozšírením jazyka C, zachoval si aj jeho procedurálnu stránku. Takže ak niekto chce, môže používať niektoré jeho výhody a programovať klasicky procedurálne. Jazyk C++ ale umožňuje aj vytvárať objekty, a celý návrh vášho projektu postaviť objektovo.. Poskytuje širokú škálu možností, ako napr. dedenie, zapuzdrenie, šablóny, predlohy apod. Je rýchlejší a efektívnejší ako jazyk C. Po použití tried MFC poskytuje programovacie prostriedky pre prácu s používateľským rozhraním. Avšak je náročný na pochopenie a ťažšie sa v ňom vytvárajú aplikácie. [15] 34

43 4.3.3 Platforma.NET Jadro tejto platformy tvorí.net Framework, poskytuje možnosť objektovo orientovaného programovania, a nie je úzko viazané na operačný systém. Vývojár má k dispozícií širokú paletu programovacích jazykov, ktoré používajú rovnaké knižnice, a líšia sa len syntaxou. Preto má vývojár možnosť vybrať si taký programovací jazyk, ktorý mu vyhovuje. Nezáleží na jeho voľbe, lebo v konečnom dôsledku všetky jazyky pod platformou.net sú rovnako výkonné a bezpečné. Používajú rovnaké dátové typy, rovnaké knižnice. Automaticky podporuje triedy, metódy, vlastnosti, udalosti, polymorfizmus atď. [16]..NET je možne charakterizovať nasledovnými základnými vlastnosťami: Je run-time prostredím pre beh aplikácii. Zabezpečuje multi-jazykovú podporu. Zjednodušuje model nasadenia a manažmentu aplikácií. Obsahuje veľa knižníc, ktoré sú rovnaké pre všetky programovacie jazyky pod.net, ľahká práca s databázou, vstupno-výstupnými zariadeniami atď. Umožňuje vytváranie webových služieb Vylepšené možnosti tvorby používateľského prostredia Výber Každá platforma a každé vývojové prostredie má svoje výhody aj nevýhody. Jazyk Java by bol nevhodný kvôli výkonnosti, a jazyk C++ s triedou MFC je už starší, a neposkytuje také možnosti ako platforma.net. Osobne sa viac prikláňam k vývojovému prostrediu Microsoft Visual Studio a jazyk C#, a použitie voľne dostupnej knižnice SharpPcap. C# je založený na platforme.net, podobá sa na jazyk JAVA, ale poskytuje širšie možnosti. Ponúka najnovšie nástroje na vytváranie aplikácií. Najbohatšie skúsenosti mám s týmto programovacím jazykom, v ktorom som už vytvoril viacero sieťovo orientovaných aplikácií. Na výber máme konzolovú alebo grafickú aplikáciu. Predpoklad bol, že konzolová aplikácia by mala byť rýchlejšia, čo sa týka spracovania údajov, avšak na základe vykonaných testov (viac v kapitole Testovanie) sa ukázalo, že opak je pravdou. 35

44 Obr.18: Výsledný diagram tried 36

45 5. Implementácia Na implementáciu bolo použité vývojové prostredie Microsoft Visual Studio Ako programovací jazyk bol použitý Visual C#.NET. Pre prácu s paketmi sa používa voľne dostupná knižnica SharpPcap (verzia ) [8]. Na vykreslenie grafu sa používa knižnica ZedGraph (verzia 5.1.4) [17], ktorá je dostupná pod licenciou LGPL. 5.1 Popis implementacie Samotný program je rozložený do viacerých súborov, kde súbory predstavujú jednotlivé okná v programe. Form1.cs hlavné okno, zachytáva pakety, a riadi ďalšie okná. Globalne.cs statická trieda, ktorá obsahuje premenné, a funkcie, ktoré sú spoločné pre všetky ostatné triedy Graf.cs modul na vykreslenie grafu Koncove.cs modul na zobrazenie okna s koncovými bodmi Komunikacie.cs modul na zobrazenie okna s komunikáciami Program.cs súbor, v ktorom sa spúšťa hlavné vlákno Splash.cs okno, ktoré sa zobrazuje pri načítavaní paketov zo súboru Vyhodnotenie.cs okno s celkovou štatistikou Program neuchováva všetky zachytené pakety v pamäti, lebo pri dlhšom zachytávaní by to bolo obrovské množstvo údajov, a neúmerne by to zaťažilo pamäť počítača. Preto, hneď ako dôjde paket, získajú sa z neho potrebné údaje a ďalej sa pracuje len s nimi. Samotný paket sa uloží do súboru temp.out v adresári C:\. Údaje o paketoch sa uložia do poľa zoznam, ktorý sa nachádza v triede globalne. Pole je typu List <>, jeho počiatočná inicializácia vyzerá nasledovne: public List<Paket> zoznam = new List<Paket>(); Samotný objekt Paket je definovaný nasledovne: 37

46 public struct Paket { public DateTime datum; public int ID; public int dlzka; public string typ1; public string typ2; public Color color; public string DestMAC; public string SourceMac; public string DestIP; public string SourceIP; public int DestPort; public int SourcePort; public string poznamka; } Výhoda takéhoto typu poľa spočíva v tom, že nie je potrebné definovať jeho presnú veľkosť, a môže obsahovať ľubovoľné prvky, prípadne objekty, ak to je aj v našom prípade. Ide vlastne o spájaný zoznam. Keďže dané pole je globálne, majú k nemu prístup všetky moduly Trieda Form1 Predstavuje hlavné okno v programe. Pri spustení toho okna sa zavolá metóda Form1_Load. V ňom sú zadefinované základné príkazy, ako načítanie sieťových zariadení, a ich následné uloženie do objektu cmbzariadenie, ktoré je typu ComboBox. Z neho si potom používateľ môže zvoliť, z ktorého zariadenia má prebiehať zachytávanie. Zachytávanie začne po kliknutí na tlačidlo Štart, ktoré zavolá metódu btnstart_click. Vymaže sa pole zoznam, z obrazovky sa vymažú všetky zachytené pakety a otvorí sa vybrané zariadenie, aby mohlo zachytávať pakety. selecteddevice.pcaponpacketarrival += new SharpPcap.PacketArrivalEvent(packet_arrival); selecteddevice.pcapopen(true, 10); selecteddevice.pcapstartcapture(); 38

47 Ako je vidieť, vždy keď sa zachytí paket, tak sa zavolá metóda packet_arrival. Tá zapíše zachytený paket do súboru, a zavolá metódu AnalyzujPaket(pkt), kde parameter predstavuje zachytený paket. V tejto metóde prebehne analýza, kde sa porovnáva, akého typu je daný paket, a podľa toho sa vyberajú z neho ďalšie informácie, ktoré sa zapíšu do pola zoznam a potom do objektu typu ListViewItem. Tento objekt sa potom pridá do objektu listzoznam, ktorý predstavuje okno s paketmi. Je typu ListView. Pri zachytávaní sa meria počet paketov za sekundu. Objekt ListView nestíha vykreslovať niekoľko sto položiek za sekudnu, tak preto keď program zistí, že zachytávanie je rýchlejšie ako 50 paket/s, tak potlačí vykreslovanie paketov do zoznamu. Začne ich pridávať do pomocného zoznamu, kde keď sa prijme 500 paketov, tak všetky vykreslí naraz. Tým je zabezpečené, že program aj pri väčšej záťaži bude zvládať vykreslovať pakety. Pri otvorení súboru sa vykreslovanie potlačí úplne, až kým sa nenačíta celý súbor, a všetky pakety sa potom vykreslia naraz. Táto trieda riadi aj otváranie ďalších okien v programe Trieda koncove Hlavný prvok v tejte triede je objekt tabcontrol, ktorý umožňuje používateľovi prepínať sa medzi jednotlivými tabuľkami. Sú tu štyri hlavné tabuľky: ListEndMac - obsahuje všetky MAC adresy ListEndIP - obsahuje všetky IP adresy ListEndTCP - obsahuje všetky TCP dvojice (IP + port) ListEndUDP - obsahuje všetky UCP dvojice (IP + port) Podobne, ako v hlavnom okne, aj tieto tabuľky sú typu ListView. Obsahujú údaje o celkovom počte zachytených paketov, celkový počet bajtov, prijatá pakety, prijaté bajty atď. Pre každú tabuľu existuje zvlášť pole, v ktorom sú uchované údaje o jednotlivých koncových uzloch. Tabuľky obsahujú vlastne definované štruktúry, podľa toho o ktorú tabuľku ide. List<MACadresa> MAClist = new List<MACadresa>(); List<IPadresa> IPlist = new List<IPadresa>(); List<TCPport> TCPlist = new List<TCPport>(); List<UDPport> UDPlist = new List<UDPport>(); Napríklad typ MACadresa je definovaná nasledovne: 39

48 public struct MACadresa { public string MAC; public int celkom_pocet; public int celkom_bajt; public int tx_pocet; public int tx_bajt; public int rx_pocet; public int rx_bajt; } Po stlačení tlačidla Obnov prebehne analýza paketov, kde sa pozerá, aký je to typ. Ak sa zistí napr. že ide o UDP paket, tak sa načíta zdrojová a cieľová IP adresa a porty. Tieto údaje sa porovnávajú s už existujúcimi prvkami v jednotlivých poliach. Ak sa nenájde zhoda, pridá sa nový prvok, ak sa nájde, pripočítajú sa údaje k existujúcemu prvku. Okno obsahuje tlačidlo Uložiť, ktoré umožňuje ukladať zobrazené údaje vo formáte CSV. Ten je automaticky priradený k programu Excel, ktorý zobrazí údaje v tabuľke. Tak má používateľ možnosť ľahko a rýchlo exportovať výsledky analýzy Trieda komunikacie Podobne ako pri triede koncove, trieda používa pole zoznam. Prebehne podobná analýza, kde sa zistia ktoré stanice koľko paketov(bajtov) poslali medzi sebou. Rozdiel je v štruktúrach, ktoré sú definované na začiatku. Je tam pridané políčko pre druhú stanicu. public struct MACadresa { public string MAC_A; public string MAC_B; public int celkom_pocet; public int celkom_bajt; public int AdoB_pocet; public int AdoB_bajt; public int BdoA_pocet; public int BdoA_bajt; } Takisto je tu možnosť uložiť zobrazené údaje do súboru vo formáte CSV. 40

49 5.1.4 Trieda graf S týmto oknom je prepojený modul ZedGraph, ktorý zabezpečuje vykresľovanie grafu. Inicializuje sa pomocou metódy CreateGraph(zg1). Vstupnou premennou je pole s dvojicami bodov, ktoré sa následne vykreslia na obrazovku po zavolaní funkcie zg1.refresh(). Tento modul umožňuje širokú škálu nastavení, ako napr. farba čiar, rozsah údajov, zmena typu grafu (kruhový, stĺpcový, lineárny..). Niektoré z týchto nastavení sú dostupné z kontextového menu objektu. Obr.19: Kontextové menu Obnovovanie grafu sa dá nastaviť buď na automatické, a to zaškrtnutím políčka Zapnúť automatické obnovovavanie s intervalom, kde má používateľ možnosť nastaviť frekvenciu obnovovania grafu v rozmedzí od 1 sekundy do 240 sekúnd. Tým sa spustí časovač, ktorý okrem iného zavolá metódu CreateGraph(zg1) a funkciu zg1.refresh(), ktorá zabezpečí prekreslenie grafu. Ďalšou možnosťou na prekreslenie je stlačenie tlačidla Obnov, a tým sa zavolá rovnaká metóda ako pri automatickom obnovovaní. Samotná metóda private void CreateGraph(ZedGraphControl zgc) vykoná okrem prekreslenia grafu aj výber určenej škály paketov. Napr. ak má používateľ nastavené, aby sa mu zobrazovali paketu za posledných 30 minút, tak sa kontroluje od konca zoznamu, ktoré pakety patria do tohto intervalu. Všetky, ktoré vyhovujú podmienkam, sa prepíšu do pomocného poľa, s ktorým sa potom ďalej pracuje. Pre každý paket sa zistí, či nie je náhodou vyfiltrovaný pomocou filtrov, ktoré si môže používateľ nastaviť. Ak nie filtrovaný, ide ďalej. Tu sa rieši, s akým intervalom majú byť 41

50 dané pakety vykreslené. Začne sa rátať rozdiel medzi časom zachytenia jednotlivých paketov. Kým sa neprekročí daný interval, tak sa zrátavajú veľkosti paketov. V momente, ako sa zistí, že je dosiahnutý interval, napr. 1 sekunda, tak sa pridá do poľa hodnôt zrátaná veľkosť paketov. A program zase začne rátať veľkosti, kým nedosiahne ďalší interval atď. Bolo treba vyriešiť problém, ktorý nastal, keď rozdiel medzi dvoma paketmi niekoľkonásobne presiahol veľkosť intervalu. Potom nastala situácia, keď program zistil, že časový rozdiel medzi dvoma paketmi je väčší ako nastavený interval, a zakreslil pakety ako keby išli za sebou. Lenže pritom vynechal čas, keď neprebiehala žiadna komunikácia. Riešenie spočíva v tom, že sa zistí, aký čas neprebiehala komunikácia a vydelí sa nastaveným intervalom. Potom program vie, koľko prázdnych miest má doplniť do grafu. Pri zmene veľkosti okna sa automaticky prispôsobí aj veľkosť grafu. Menu s nastaveniami sa drží vždy dole, v strede okna. Graf je implicitne nastavený tak, aby zmenil rozsah osy X a Y podľa údajov, ktoré má vykresliť Trieda vyhodnotenie Trieda, ktorá riadi okno pre celkovú štatistiku. Po otvorení okna sa zavolá metóda na obnovenie údajov. Táto metóda prejde pole zoznam a zráta koľko paketov bolo zachytených, aká je ich celková veľkosť, a koľko trvalo samotné zachytávanie. Potom sa zistí počet paketov podľa typu protokolov druhej a tretej vrstvy OSI modelu, čiže ARP, TCP, UDP, ICMP a ostatné. Takisto sa zráta aj ich veľkosť podľa jednotlivých protokolov. Vypíše sa ich percentuálny podiel v porovnaní s celkovým počtom paketov, resp. celkovou veľkosťou. Okno tiež obsahuje moduly ZedGraph na grafické znázornenie údajov. V tomto prípade však ide o kruhové diagramy. 42

51 6. Testovanie 6.1 Konzola vs. grafická aplikácia Program má vyhodnocovať komunikáciu v sieti, čo znamená, že v niektorých prípadoch môže pracovať aj s desiatkami až stovkami tisíc paketov. To je obrovské množstvo dát. A nehovoriac ešte o reálnom zachytávaní paketov popri tom. Dobrým riešením sa zdá byť konzolová aplikácia, ktorá nezaťažuje systém s používateľským prostredím, preto má viac prostriedkov na spracovanie informácii. Preto sa najprv porovnala konzolová aplikácia s grafickou aplikáciou. Pomocou jednoduchého skriptu, ktorý vyslal určitý počet UDP paketov špecifickej veľkosti zo sieťového zariadenia sa zisťovalo, koľko trvá vykonanie tejto akcie. Funkcia na poslanie paketov: st.start(); for (i = 1; i <= 10000; i++) { dev1.pcapopen(true, 10); dev1.pcapsendpacket(paket); } st.stop(); Objekt st sú stopky, ktoré merali čas, ktorý bol potrebný na poslanie, v tomto prípade paketov. Celé meranie sa zopakovalo 50-krát pre veľkosti paketov 42B, 700B, a 1500B. Vysielalo sa 1000 a krát. Nakoniec sa urobil celkový priemer z časov, a provnali sa časy pre konzolovú a grafickú aplikáciu. 43

52 Čas vysielania (s) Čas vysielania (s) Konzolová aplikácia Výstup aplikácie bol presmerovaný do súboru, kde sa uložili jednotlivé časy meraní. Tie sa potom preniesli do EXCEL-u a vyrátal sa z nich celkový priemer, minimálny čas a maximálny čas vysielania. 1,500 1,000 0,500 0,000 Vysielanie 10000x42B Čislo paketu 6,000 4,000 2,000 0,000 Vysielanie 10000x1500B Čislo paketu Obr. 20: Porovnanie časov, ktoré boli potrebné na vyslanie paketov s veľkosťou 42B a 1500B Tabuľka s výsledkami 1000x42B 1000x700B 1000x1500B 10000x42B 10000x700B 10000x1500B Čas [s] Čas [s] Čas [s] Čas [s] Čas [s] Čas [s] min 0, , , , , , max 0, , , , , , priemer 0, , , , , , Tab. 2: Rozdiel medzi najmenším a najväčším priemerom: 2,5388 s Z výsledkov je vidieť, že čas, ktorý bol potrebný pre poslanie paketov, exponenciálne rástol s veľkosťou a s počtom poslaných paketov. 44

53 Čas vysielania (s) Čas vysielania (s) Grafická aplikácia Na testovanie bola vytvorená jednoduchá grafická aplikácia, ktorá vykonávala rovnakú funkciu ako konzolová aplikácia. 0,200 Vysielanie 10000x42B 0,200 Vysielanie 10000x1500B 0,150 0,150 0,100 0,100 0,050 0,050 0, Čislo paketu 0, Čislo paketu Obr. 21: Porovnanie časov, ktoré boli potrebné na vyslanie paketov s veľkosťou 42B a 1500B Tabuľka s výsledkami: 1000x42B 1000x700B 1000x1500B 10000x42B 10000x700B 10000x1500B Čas [s] Čas [s] Čas [s] Čas [s] Čas [s] Čas [s] min 0, , , , , , max 0, , , , , , priemer 0, , , , , , Tab.3: Rozdiel medzi najmenším a najväčším priemerom: 0,12611 s V tomto prípade nezáležalo na veľkosti paketov, vysielanie trvalo približne rovnaký čas. Celkový priemer bol oveľa nižší ako v prípade konzolovej aplikácie Zhodnotenie výsledkov Predpoklad bol, že konzolová aplikácia, ktorá nie je zaťažená vykreslením grafického prostredia, bude efektívnejšia ako grafická aplikácia. Z výsledkov testov sa však ukázalo, že opak je pravdou. Kým rozdiel medzi najmenším a najväčším priemerom pri grafickej aplikácií bol 0,12611 sekundy, tak pri konzolovej aplikácií to bolo mnohonásobne vyššie, až 2,5388 sekundy. Z toho vyplýva, že konzolová aplikácie je podstatne pomalšia, čo sa týka spracovania aplikácií. Možno pod iným operačným systémom, ako je Windows, by to bolo naopak, ale keďže Windows je najrozšírenejší OS, tak potom sa zvolila nakoniec grafická aplikácia. 45

54 6.2 Testovanie vyhodnotenia prevádzky Pri testoch sa použili vzorky, ktoré boli zachytené pri obvyklej prevádzke systému. Sú porovnané výsledky z rôznych pohľadov. Potom nasledujú testy, kde sa simulovali výkyvy v komunikácií (nadmerné posielanie pošty, používanie P2P programov, videokonferencia) Všeobecné vyhodnotenie Vzorka bola zachytená na počítači, ktorý je súčasťou malej domácej siete s dvoma počítačmi a smerovačom, s prístupom na internet. Zachytávanie trvalo vyše 3 hodiny. Bolo zachytených celkom paketov, čo spolu predstavuje 4651 KB. Porovnaná bude TCP a UDP komunikácia. A vypísané najčastejšie použité MAC a IP adresy a porty. Obr. 22: Celková štatistika Počítač, na ktorom bežal program sa väčšinou používa na surfovanie na internete, pozeranie online videa, posielanie ov apod. Preto aj väčšinu komunikácie predstavuje TCP komunikácia, ak sa pozeráme na počet tak 89,79%, a keď na počet bajtov, tak 95,01%. UDP komunikácia je zanedbateľná. 46

55 Obr. 23: Celková TCP komunikácia, čas je udávaný v sekundách Obr. 24: Celková UDP komunikácia, čas je udávaný v sekundách Z grafov je vidieť, že TCP komunikácia bola najintenzívnejšia v čase okolo 21:20, kým pri UDP to bolo skôr o 21:30. Keď je nastavený sekundový rozsah, tak rovno sa dá odčítať aj maximálna prenosová rýchlosť v jednotkách byte/s. Pri TCP to je 180 * 10 3, čo predstavuje približne 175 KB/s. Pri UDP je to 6000 bajtov/s. 47

56 6.2.2 Prípad 1: P2P program Bola simulovaná situácia, keď bol spustení na počítači P2P program, a začalo sa sťahovanie a posielanie súborov. Administrátor zistil, že sieť je zahltená, a je veľmi pomalá, tak po zobrazení a zoradení zachytených údajov sa zistili nasledujúce informácie: IP adresa Celkom Celkom Vyslané Vyslané Prijaté Prijaté paketov bajtov pakety bajty pakety bajty Tab.4: Údaje pre stanicu Z tabuľky koncových uzlov sa zistilo, že najviac prebiehala komunikácia na počítači s IP adresou Z ďalšej tabuľky je sa zistilo, že táto komunikácia prebiehala na TCP porte Port nepatrí do tzv. well-known-ports, čiže ju môže využívať ľubovoľná aplikácia, s veľkou pravdepodobnosťou P2P aplikácia. Je to už na administrátorovi, aby zakázal daný port na danom počítači, alebo sa osobne pozrel na nainštalované programy Prípad 2: Prehnané posielanie ov V tejto situácií sa začali posielať z počítača hromadné y, čo spôsobilo zahltenie siete, a komunikácia smerom von bola skoro úplne odstavená. Po vyhodnotení komunikácie sa zistili nasledujúce veci: 99,98% komunikácie predstavovala TCP komunikácia, preto sa administrátor pozrie bližšie na to, ako to presne prebiehalo. Stanica A Port A Stanica B Port B Celkom paketov Celkom bajtov Tab. 5: Uzly, ktoré najviac komunikovali Z tabuľky č. 5 je jasné, že najviac komunikovali medzi sebou stanice a na TCP porte 993. Po krátkom hľadaní sa našlo, že port 993 predstavuje službu imaps, ktorá slúži na posielanie ov, čiže sieť bola zahltená kvôli nadmernému posielaniu/prijímaniu ov. 48

57 6.2.4 Zhodnotenie výsledkov Program zachytáva prevádzku v sieti, a ak je nainštalovaný na počítači, ktorý vidí celú komunikáciu, čiže je napojený cez HUB na sieť, prípadne mu smerovač alebo prepínač preposiela všetky dáta, tak administrátor má prístup ku všetkým paketom, ktoré prejdú sieťou. Potom sa už ľahko detegujú chyby v sieti, ako bolo vyššie ukázané. Popri tom má možnosť vyhodnotiť prevádzku rozdelenú na konkrétne komunikácie, prípadne sledovať využitie siete v čase. 49

58 7. Záver Cieľom projektu bolo vytvorenie aplikácie, ktorá by slúžila ako pomôcka pre administrátora siete. Ak je program nainštalovaný na počítači, ktorý je napojený na monitorovací port smerovača, prípadne prepínača, tak má prístup k celej komunikácií. Má možnosť vyhodnotiť komunikáciu a dospieť k nejakým záverom. Ako sa ukázalo v kapitole Testovanie, tak v niektorých prípadoch môže program odhaliť chyby v sieti, ktorá by bola nadmerne zaťažená. Prípadne by sa dalo odhadnúť kedy je vhodné odpojiť sieť, ak by bola potrebná údržba, resp. oprava siete. Porovnalo by sa viac dní za sebou, ako prebiehala komunikácia, ak by sa periodicky opakoval čas, keď je komunikácia miernejšia, tak práve vtedy by bolo najvhodnejšie spomínané odpojenie. Program však zďaleka nevyčerpal všetky možnosti štatistického vyhodnotenia komunikácie, vylepšenie by spočívalo v tom, že by sa automaticky vytváral profil pre každú pracovnú stanicu, ktorá je v sieti, a keby nastala porucha tak by sa porovnávali tieto profily s obdobím, keď spomínaná porucha nastala. Potom by sa ľahko zistilo, kto a čo spôsobilo chybu. V samotnej implementácií by sa mohli ešte uskutočniť zmeny, aby sa celý program ešte viac zoptimalizoval. Spracovanie údajov pri vykreslovaní grafu by tak prebiehalo rýchlejšie. Prípadne by sa dala urobiť tzv. tichá verzia programu, ktorá by zbierala údaje bez toho aby nejakým spôsobom obmedzovala používateľa. 50

59 8. Zoznam skratiek LAN - Local Area Network MAN Metropolitan Area Network WAN Wide Area Network TCP Transmission Control Protocol IP Internet Protocol OSI - Open Systems Interconnection Reference Model UDP User Datagram Prorocol FCS - Frame Check Sequence CRC Cyclic Redundancy Check IPX/SPX - Internetwork Packet Exchange/Sequenced Packet Exchange MTU Maximum Transmission Unit ICMP Internet Control Message Protocol ARP Adress Resolution Protocol PDU - Protocol Data Unit PCI - Protocol Control Information SDU Service Data Unit MAC - Media Access Control API Application Programming Interface NIDS - Network Intrusion Detection System CSV Comma Separated Values 51

60 9. Použitá literatúra a odkazy [1] Lyon, Gordon Nmap. [2] HEJNA, L.: Lokální počítačové sítě. 1.vyd. Praha: Grada, s. ISBN [3] Základy sítí Training Kit, 1.vyd. Praha: Computer Press, s. ISBN [4] BŘEHOVSKÝ, P.: Praktický úvod TCP/IP. 1.vyd. České Budějovice: KOPP, s. ISBN [5] Bouška, Petr TCP/IP - model, encapsulace, paket vs. rámec. [6] Leres, Craig Manpage of pcap. [7] Varenni, Gianluca WinPcap: The Windows Packet Capture Library. [8] Gal, Tamir SharpPcap. [9] GIBILISCO, S. : Statistika bez předchozích znalostí - Příručka pro samouky. 1.vyd. Praha: Computer Press, s. ISBN [10] ROMARČÍK, M.: Štatistika pre prax. 1.vyd. Bratislava: Vlastné náklady, ISBN [11] Combs, Gerard Wireshark Go Deep. [12] Gelfenbeyn, Haim. DU Meter Home Page. [13] Distinct Corporation Distinct Network Monitor - Packet Analyzer for IP Networks. [14] Dioné Programovací jazyk Java. [15] BELAN, A.: KURZ JAZYKA C++. 1.vyd. Bratislava: Vlastné náklady,

61 [16] ÚVTMU NET, stručná informace. [17] ZedgRAPH ZedGraph Wiki. 53

62 Príloha A - Technická dokumentácia V prípade ak by sa program upravoval v budúcnosti, budú bližšie popísané niektoré triedy, ktoré a funkcie, ktoré sú potrebné na základný chod programu. Trieda globalne... using Tamir.IPLib; using Tamir.IPLib.Packets; using ZedGraph; Na začiatku sú pridané referencie na všetky moduly ktorý program používa, v tomto prípade okrem štandardných modulov tu figurujú aj odkazy na knižnice, ktoré sa používajú na zachytávanie paketov a vykreslovanie grafu. Každá ďalšia knižnica musí byť pridaná podobným spôsobom. namespace analyzator { public class Paket { private Paket pkt; private static List<Paket> zoznam_p = new List<Paket>(); public Paket packet { get { return pkt; } set {pkt = value;} } } static class globalne { public struct Paket { public DateTime datum; public int ID; public int dlzka; public string typ1; public string typ2; public Color color; public string DestMAC; public string SourceMac; public string DestIP; public string SourceIP; public int DestPort; public int SourcePort; public string poznamka; } public static void PrelozMenu(ZedGraphControl control, ContextMenuStrip menustrip, Point mousept, ZedGraphControl.ContextMenuObjectState objstate) { for (int i = 0; i < 8; i++) { ToolStripMenuItem item = (ToolStripMenuItem)menuStrip.Items[i]; if (i == 7) item.text = "Nastav pôvodný rozsah"; if ((string)item.tag == "copy") item.text = "Kopíruj"; if ((string)item.tag == "page_setup") item.text = "Nastavenie strany..."; if ((string)item.tag == "print") item.text = "Tlač"; if ((string)item.tag == "save_as") item.text = "Uložiť obrázok ako..."; 54

63 if ((string)item.tag == "show_val") item.text = "Ukázať hodnoty bodov"; if (i == 5 i == 6) { menustrip.items[i].visible = false; } } } public static void Usporiadaj(ListView list, ColumnClickEventArgs e) { ListViewItem[] pom = new ListViewItem[list.Items.Count]; string[] pom2 = new string[list.items.count]; for (int i = 0; i < list.items.count; i++) { pom2[i] = list.items[i].subitems[e.column].text.padleft(20, '0'); } list.items.copyto(pom, 0); Array.Sort(pom2, pom); list.items.clear(); if (list.tag == "UP") { list.items.addrange(pom); list.tag = "DOWN"; } else { Array.Reverse(pom); list.items.addrange(pom); list.tag = "UP"; } } public static List<Paket> zoznam { get { return zoznam_p; } set { zoznam_p = value; } } } } Trieda obsahuje globálnu premennú zoznam, do ktorého sú uložené objekty typu Paket. Tieto objekty obsahujú už len vytiahnuté informácie z paketov, preto zaberajú podstatne menej pamäti, ako keby sa uchovávali priamo celé pakety. Funkcia PrelozMenu slúži na preloženie pôvodného menu grafu do slovenčiny. Položky v menu sú rozlíšené pomocou vlastností Tag. Stačí podľa neho nájsť položku, a potom sa dá premenovať, prípadne vymazať. Takisto sa dajú pridať nové položky do menu. Funkcia Usporiadaj dostane argument objekt typu ListView a číslo stĺpca na ktorý používateľ klikol. Potom sa do pomocných polí načítajú všetky položky z daného objektu a položky, ktoré sa nachádzajú len v danom stĺpci. A potom prebehne usporiadanie všetkých položiek podľa položiek v stĺpci. Výsledné usporiadané pole sa vráti naspäť do objektu. 55

64 Analýza paketu Táto metóda sa nachádza v triede Form1, slúži na vytiahnutie informácií z paketov a následne ich zápis do poľa zoznam. private void AnalyzujPaket(Packet pkt) { globalne.paket paket = new globalne.paket(); ListViewItem item = new ListViewItem(); if (pkt is EthernetPacket) { EthernetPacket eth = (EthernetPacket)pkt; paket.id = index++; paket.destmac = eth.destinationhwaddress; paket.sourcemac = eth.sourcehwaddress; paket.datum = pkt.pcapheader.date; paket.poznamka = pkt.tostring(); paket.dlzka = pkt.pcapheader.capturelength; if (pkt is IPPacket) { paket.typ1 = "IP"; paket.color = Color.Yellow; paket.sourceip = ((IPPacket)pkt).SourceAddress; paket.destip = ((IPPacket)pkt).DestinationAddress; paket.typ2 = ZistiProtokol(((IPPacket)pkt).IPProtocol); } if (pkt is UDPPacket) { paket.color = Color.Orange; paket.sourceport = ((UDPPacket)pkt).SourcePort; paket.destport = ((UDPPacket)pkt).DestinationPort; globalne.zoznam.add(paket); if (zobraz) AktualizujZoznam(paket); Na začiatku sa vytiahnu všetky informácie, ktoré sú obsahujú všetky pakety, napr MAC adresy, čas zachytenia atď. Potom sa kontroluje presne o aký typ paketu ide a podľa toho sa zisťujú ďalšie informácie, napr. pri UDP a TCP paketoch porty. A priraďujú sa k nim aj farby podľa protokolov. 56

65 Príloha B - Používateľská príručka Inštalácia Program nevyžaduje inštaláciu, je vyhotovený ako spustiteľný.exe súbor. Potrebuje však mať knižnice Tamir.IPLib.SharpPcap.dll a ZedGraph.dll v rovnakom adresári, ako.exe súbor. Keďže bol vytvorený pod platformou.net, tak vyžaduje mať nainštalovaný.net Framework 3.5, ktorý je však súčasťou automatických aktualizácií Windowsu. Okrem toho používa knižnicu winpcap.dll, čiže je potrebné mať nainštalovaný aj WinPcap 4.02 a vyššie. Používateľské rozhranie Rozmiestnenie ovládacích prvkov je prehľadné a poskytuje používateľovi intuitívne ovládanie. Program obsahuje aj menu, pre uľahčenie prístupu k jednotlivým oknám. Hlavné okno Prvé, čo musí používateľ urobiť, je vybrať si odkiaľ chce načítať pakety. Na výber je buď priame zachytávanie zo siete, alebo otvorenie súboru so zachytenými paketmi. a. Otvorenie súboru kliknutím na položku Súbor v hlavnom menu a následne výber možnosti Otvoriť, alebo klávesovou skratkou CTRL + O. b. Priame zachytávanie najprv si treba vybrať zachytávacie zariadenie, a potom kliknúť na tlačidlo Štart. Zachytávanie sa zastavuje pomocou tlačidla Stop. Pakety sa objavujú v strede obrazovky, kde sú zobrazené ako farebné riadky pod sebou. Po kliknutí na niektorý paket z tohto zoznamu sa v časti Podrobnosti objavia ďalšie informácie o pakete. V dolnej lište je znázornený celkový počet zachytených paketov a aktuálna rýchlosť zachytávania. Zachytené pakety sa dajú kedykoľvek uložiť pomocou výberu položky z menu Súbor > Uložiť, prípadne klávesovou skratkou CTRL+S. 57

66 Obr.25: Hlavné okno programu Pri stopnutí a znovu spustení zachytávania sa predošlé pakety vymažú. To iste sa udeje aj pri otvorení súboru. Okno Celková štatistika Okno sa otvára cez menu Vyhodnotenie - > Celková štatistika. Obnovenie zobrazovaných údajov sa udeje vždy po kliknutí na tlačidlo Obnov. Sú tu znázornené základne údaje o zachytených paketoch, ako graficky, tak i textovo. Vykreslený graf sa dá ľahko uložiť ako obrázok, pomocou kontextového menu (pravý klik na graf). Obr. 26: Okno s celkovou štatistikou 58

67 Okno Koncové uzly Otvára sa cez menu Vyhodnotenie - > Koncové uzly. Po kliknutí na tlačidlo Obnov sa zobrazia výsledné údaje o koncových uzloch, ako celkový počet paketov, bajtov, počet vyslaných a prijatých paketov, bajtov. Po kliknutí na tlačidlo Uložiť, sa zobrazí dialógové okno na ukladanie súborov, a po zadaní názvu súboru sa údaje z obrazovky uložia do formátu CSV. V hornej lište je možnosť vybrať si koncové uzly rozdelené do jednotlivých kategórií. Obr.27: Okno Koncové uzly Okno Komunikácie Otvára sa cez menu Vyhodnotenie - > Komunikácie. Je podobné oknu s koncovými uzlami. Rozdiel je len v tom, že sa tu zobrazujú dvojice adries, ktoré medzi sebou komunikovali. Okno Graf Otvára sa cez menu Vyhodnotenie - > Graf. Slúži na vykreslenie závislosti počtu prenesených paketov od času. Používateľ má možnosť nastaviť si vlastné filtre, čiže sa budú spracovávať len pakety, ktoré vyhovujú daným podmienkam. Obnovenie sa udeje, buď automaticky po zaškrtnutí políčka Zapnúť automatické obnovovavanie s intervalom alebo po kliknutí na tlačidlo Obnov. Po zaškrtnutí políčka Len IPv4 komunikácia sa budú spracovávať len IPv4 pakety. Zmenou rozsahu si vie používateľ prispôsobiť graf vlastným požiadavkám. 59

68 Obr. 28: Okno Graf Po kliknutí pravým tlačidlom myši na graf sa zobrazí kontextové menu, cez ktoré sa dá daný graf uložiť do úboru. Podporované sú viaceré formáty obrázkov. 60