Sniffer (Packet Sniffer/Analyzer) là gì?
Sniffer (bộ nghe gói tin) là phần mềm hoặc phần cứng dùng để bắt, phân tích lưu lượng mạng. Nó hoạt động bằng cách đưa giao diện mạng vào chế độ promiscuous (thu nạp tất cả), cho phép xem toàn bộ gói tin đi qua - không chỉ gói tin gửi đến máy đó.
Phân loại Sniffer
1. Theo mục đích sử dụng
- Sniffer hợp pháp: Quản trị mạng dùng để giám sát hiệu suất, troubleshoot, phân tích băng thông, phát hiện lỗi cấu hình.
- Sniffer độc hại: Kẻ tấn công dùng để đánh cắp mật khẩu, session cookie, dữ liệu nhạy cảm truyền đi không mã hóa (HTTP, FTP, Telnet, POP3/IMAP/SMTP không TLS).
2. Theo kỹ thuật thu thập
- Passive Sniffing: Chỉ nghe lén trên mạng Hub hoặc port mirror (SPAN) của Switch. Khó phát hiện.
- Active Sniffing: Tấn công vào Switch để ép buộc chuyển gói tin đến máy nghe: ARP Spoofing, MAC Flooding, DHCP Starvation, DNS Poisoning, VLAN Hopping.
Công cụ Sniffer phổ biến
| Công cụ | Nền tảng | Đặc điểm |
|---|---|---|
| Wireshark | Cross-platform | Miễn phí, mã nguồn mở, phân tích sâu hàng trăm giao thức, GUI mạnh |
| tcpdump | Linux/Unix | CLI, nhẹ, lọc gói tin mạnh (BPF), dùng cho server/embedded |
| SolarWinds NetFlow Analyzer | Windows | Phân tích lưu lượng NetFlow/sFlow, báo cáo băngidth |
| PRTG Network Monitor | Windows | Giám sát toàn diện, sensor sniffer built-in |
| WinDump | Windows | Port của tcpdump cho Windows |
| NetworkMiner | Windows | Trích xuất file, email, ảnh từ pcap (forensics) |
Phát hiện Sniffer trên mạng
- Kiểm tra chế độ promiscuous:
ifconfig -a | grep PROMISC(Linux) hoặcGet-NetAdapter | Where-Object {$_.PromiscuousMode -eq "Enabled"}(PowerShell) - Phát hiện ARP Spoofing: Công cụ
arpwatch,XArp, hoặc kiểm tra bảng ARP trùng MAC - Port Mirroring/SPAN: Kiểm tra cấu hình switch xem có port mirror trái phép không
- Hệ thống IDS/IPS: Snort, Suricata với rule phát hiện sniffing behavior
Biện pháp phòng chống
1. Mã hóa end-to-end (Bắt buộc)
- HTTPS (TLS 1.2/1.3) cho web
- SSH thay Telnet, SFTP/SCP thay FTP
- IMAPS/POP3S/SMTPS cho email
- VPN (WireGuard, OpenVPN, IPsec) cho truy cập từ xa
- WPA3 cho Wi-Fi, 802.1X cho doanh nghiệp
2. Kiến trúc mạng an toàn
- Dùng Switch thay Hub (giới hạn broadcast domain)
- VLAN tách biệt traffic nhạy cảm
- Dynamic ARP Inspection (DAI), DHCP Snooping, IP Source Guard trên Switch
- Port Security giới hạn số MAC trên port
3. Giám sát & Kiểm toán
- SIEM thu thập log switch/router/endpoint
- Quét định kỳ tìm card mạng ở chế độ promiscuous
- Honeypot/honeynet phát hiện kẻ dòm ngó
Pháp lý và đạo đức
Sniffing hợp pháp khi: bạn sở hữu mạng, được quyền quản trị, hoặc capturing trên traffic của chính mình. Bất hợp pháp khi: nghe lén traffic người khác không đồng ý, đánh cắp dữ liệu, vi phạm Luật An ninh mạng (Việt Nam: Luật 86/2015/QH13, Nghị định 13/2023/NĐ-CP).