Sniffer

Ein Sniffer (von englisch sniff für „schnüffeln“) ist eine Software, die den Datenverkehr eines Rechnernetzes analysieren kann. Es handelt sich um ein Werkzeug (Tool) der Netzwerkverkehrsanalyse.

Herkunft des Begriffs

Sniffer ist das englische Wort für Schnüffler. Der Hersteller Network General bezeichnete damit eine 1986 veröffentlichte Software zur Analyse von Netzwerken auf Auffälligkeiten im Datenverkehr. Da der Name dieses Produkts die Funktion der Software zutreffend beschrieb, hat er sich zum Begriff für Software dieser Art durchgesetzt.

Aufgaben von Netzwerk Sniffern

Da Computernetzwerke kritische Infrastruktur sind, gibt es wichtige Gründe für den Einsatz von Sniffern zur Analyse des Datenverkehrs im Netzwerk. Sie dienen der Sicherstellung eines gut funktionierenden Netzwerkes. Sie werden, unter anderem, für folgende Aufgabengebiete eingesetzt.

• Analyse von Verbindungsproblemen im Netzwerk
• Ursachenanalyse von ungenügender Datenübertragungsgeschwindigkeit
• Ursachensuche bei auffallend starkem Datentransfer
• Eindringungsversuche entdecken (Intrusion Detection Systems)
• Netzwerktraffic-Analyse und Filterung nach verdächtigem Inhalt

Unrechtmäßig im Netzwerk installierten Sniffer können jedoch auch im Rahmen von Datenspionage eingesetzt werden.

Technik

Sniffer können nur Datenpakete analysieren, welche an der Netzwerkschnittstelle des eingesetzten Systems ankommen. In den frühen Zeiten der Computernetzwerke wurden häufig Hubs zur Verteilung der Netzwerkpakete eingesetzt. Diese haben jedes Datenpaket an alle angeschlossenen Systeme im Netzwerk weitergeleitet. Daher konnten Sniffer an jeder beliebigen Stelle im Netzwerk installiert werden und konnten alle Datenpakete analysieren, sofern er im Promiscuous Mode betrieben wurde.

Seitdem Netzwerke effizienteres Routing betreiben (beispielsweise mit Switchen) sehen Systeme nur noch Datenpakete, die für sie oder das gesamte Netzwerk bestimmt sind. In diesem Fall gibt es mehrere Möglichkeiten, um dennoch alle Daten abgreifen und analysieren zu können, beispielsweise durch den Einsatz hardwarebasierter und in die Netzwerkverbindung eingeschleifter Network-TAPs (englisch Network Traffic Access Points) oder durch spezielle Einstellungen am Switch das Spiegeln des Datenstroms (englisch Port Mirroring) bestimmter Ports auf einen Ausgabeport (Monitor-Port). Daneben bestehen verschiedene Methoden, welche im Regelfall nicht die Vollständigkeit der abgegriffenen Daten garantieren wie ARP-Spoofing, ICMP-Redirects, DHCP-Spoofing oder MAC-Flooding.

Verschlüsselte Datenübertragung

Gerade im Bereich der Internetkommunikation setzen sich verschlüsselte Übertragungsprotokolle, wie https, durch. Verschlüsselte Datenpakete liefern nur rudimentäre Informationen zum Verlauf der Datenpakete (beispielsweise Absender und Ziel IP-Adresse), liefern aber keinen lesbaren Inhalt.

Rechtslage in Deutschland

Das Mitschneiden des Netzwerktraffics unwissender Personen fällt in manchen Fällen unter Ausspähen von Daten gemäß § 202a dem deutschen Strafgesetzbuch (StGB).

Bekannte Sniffer-Produkte und ihre Einordnung

(Produkt-Übersicht: siehe unten)

Allgemein wird unterschieden zwischen:

• Local Analyzer ↔ Remote Analyzer / Distributed Analyzer – Local Analyzer sind klassische PC-Programme. Remote Analyzer sind in fernen LAN-Segmenten stehende Agenten, die von einer zentralen Station angesteuert werden – wie im Netzwerk-Management-Bereich lange schon üblich. Man spricht dann von Distributed Analysis. In stark durch Switching/Routing segmentierten Netzwerken ist diese Art der Analyse letztlich unverzichtbar.
• Hardware Analyzer ↔ Software Analyzer – Wurde bis Mitte der 1990er Jahre noch sehr stark auf Hardware-Analyzer gesetzt, haben sich heute weitgehend Software-Analyzer durchgesetzt, die auf PC-Basis arbeiten. Zwar ist in Hochleistungs-Netzwerken der Einsatz von Hardware-Analyzern weiterhin unverzichtbar; ihre hohen Kosten, die gegenüber Software-Analyzern mäßige Entwicklungsgeschwindigkeit sowie das Kapital-Risiko für den Fall von Fehlern haben die Kundschaft jedoch dazu übergehen lassen, nur dort Hardware einzusetzen, wo sie wirklich völlig unentbehrlich ist. Die Folge ist, dass kaum noch Hersteller von Hardware-Analyzern am Markt tätig sind.
• Commercial Analyzer ↔ Non-Commercial Analyzer – Bis Ende der 1990er Jahre hat es praktisch nur proprietäre Analyzer gegeben. Dies hat sich mit Wireshark (ehemals Ethereal) ab 1998 nach und nach geändert.

Produkt-Übersicht

Wichtige Produkte der LAN-Analyse in alphabetischer Reihenfolge:

Freie Produkte:

• Ettercap
• NETCORtools (TCP Trace basierend)
• NetworkMiner
• Tcpdump
• Wireshark (ehemals Ethereal)

Proprietäre Produkte:

• caplon (consistec)
• Clearsight Analyzer (Clearsight Networks)
• EtherPeek, OmniPeek, GigaPeek (Savvius)
• LANdecoder32 (Triticom)
• Capsa (Colasoft)
• Microsoft Network Monitor
• NetSpector (INAT)
• NetVCR (Niksun)
• NetworkActiv PIAFCTM
• Observer (Viavi)
• OptiView (Fluke Networks)
• Sniffer (NetScout, nach Übernahme von Network General)
• TraceCommander (Synapse Networks)
• webSensor und webProbe (Moniforce)
• Cubro Netrecorder (Cubro)

Weitere Sniffer

• WLAN-Sniffer dienen in erster Linie dem Auffinden von drahtlosen Netzwerken.

Weblinks

Commons: Sniffer – Sammlung von Bildern, Videos und Audiodateien

• easy-network.de/snffer. Aufbau, Funktionsweise und Schutzmaßnahmen gegen einen Sniffer.
• RFC 1761 – Snoop Version 2 Packet Capture File Format. Februar 1995 (englisch).