Nmap (Network Mapper) is een krachtig open source hulpmiddel in het penetratietesten en netwerkauditing. Hoewel Nmap voornamelijk wordt gebruikt voor het scannen van netwerken om informatie over hosts en de bijbehorende services te bereiken, kan het daadwerkelijk ook worden gebruikt om door .pcap-bestanden (Packet Capture) te parseren die de netwerkpakketten vastleggen die een computer heeft verzonden of ontvangen.
De primaire manier om Nmap te gebruiken voor het parseren van .pcap-bestanden kan worden benaderd via de -r-optie die Nmap biedt. Het commando is als volgt: nmap -r -sn -T4 -R -O -S. (bron: “Nmap Network Scanning: The Official Nmap Project Guide to Network Discovery and Security Scanning” door Gordon Fyodor Lyon)
De -r optie zorgt voor het uitschakelen van de willekeurige volgorde waarin de doelbestanden normaal gesproken worden gescand, wat nuttig is bij het parseren van .pcap-bestanden, omdat deze worden verwerkt in de volgorde waarin ze in het bestand voorkomen.
De -sn optie zorgt ervoor dat Nmap de poortscan overslaat, aangezien dit niet relevant is wanneer we een pcap-bestand parsen.
De -T4 optie stelt de timing in op “agressief”, wat het scanproces versnelt.
De -R optie dwingt DNS-resolutie af voor alle doelIP’s zodat Nmap de namen kan vastleggen.
De -O optie is voor OS-detectie, wat betekent dat Nmap zal proberen het besturingssysteem van het geanalyseerde netwerkverkeer te bepalen.
Dit commando helpt bij het vastleggen van zeer specifieke details uit het .pcap-bestand, inclusief hostdetails en de bijbehorende netwerkservices waarmee ze communiceren.
Hoewel Nmap krachtig is, is het belangrijk om te vermelden dat er andere hulpmiddelen beschikbaar zijn die specifiek zijn ontworpen om pcap-bestanden te analyseren, zoals Wireshark en Tcpdump, en deze kunnen mogelijk gedetailleerdere analyses bieden.
Een project als “Network Forensics Puzzle Contest” van Sherri Davidoff op https://www.lmgsecurity.com/puzzle offers real-world voorbeelden van het gebruik van Nmap voor .pcap-analyse.
Nattily, het parseren van .pcap-bestanden met Nmap kan netwerktechnici en beveiligingsprofessionals helpen om de nodige informatie uit netwerkverkeerslogs te extraheren voor analyse en forensisch onderzoek met deze commando’s.
Bronnen:
- Gordon Fyodor Lyon, “Nmap Network Scanning: The Official Nmap Project Guide to Network Discovery and Security Scanning”, ISBN-13: 978-0979958717
- Nmap Documentation, https://nmap.org/book/man.html
- Sherri Davidoff, https://www.lmgsecurity.com/puzzle
