Création d'un outil pour générer un diagramme de séquence à partir d'un fichier de capture de paquets de plusieurs nœuds

Création d'un outil pour générer un diagramme de séquence à partir d'un fichier de capture de paquets de plusieurs nœuds

1. Vue d'ensemble

J'ai créé un outil appelé packetseq qui génère un diagramme de séquence de paquets au format PNG à partir d'un fichier capturé simultanément par Wireshark ou tcpdump sur plusieurs nœuds du réseau. Le langage utilisé était Python, une bibliothèque qui crée des diagrammes de séquence appelés Seqdiag.

• Le code a été téléchargé sur GitHub (2016/10/6)
• Publié sur PyPI afin qu'il puisse être installé et la commande exécutée avec pip etc. (2016/10/10)

1-1. Contexte de la création d'outils

Afin d'étudier le retard réseau de l'environnement client au sein de l'entreprise, les paquets collectés au niveau de chaque nœud de communication ont été mis en correspondance. Comme le paquet est au format pcap, il a été visualisé avec WireShark. Wireshark a un outil appelé diagramme de flux qui affiche une connexion spécifique, mais j'ai abandonné car il ne peut pas être utilisé pour faire correspondre les paquets collectés à plusieurs endroits. Puisqu'il n'y a aucune aide pour cela, j'ai décidé de créer une séquence de paquets sur Excel. J'ai réduit le fichier de capture à une communication de port spécifique du client, exporté le paquet, l'ai converti au format CSV et créé un diagramme de séquence à la main sur Excel. Cela a été utile de discuter avec l'équipe, mais cela a pris trop de temps et je ne voulais pas répéter la même chose, j'ai donc créé un outil.

Environnement à ce moment-là (référence)

Http Client --- Internet --- LLB --- FW --- SLB --- Http Server

1-2. Ce dont vous avez besoin pour exécuter l'outil

• Python 2.7
• Seqdiag
• Fichier de capture de paquets (format csv)
• Doit être dans le format de colonne suivant

"No.","Time","Source","Destination","Protocol","Length","Info"

• Le format d'affichage de l'heure de la colonne Heure doit être le format «date et heure» du format d'affichage de l'heure de wirehark.

 Format de la date et de l'heure (1973-06-14 01: 02: 03.123456)

1-3. Sites référencés

• Outil de génération de diagramme de séquence seqdiag

2. Flux

2-1. Construction de l'environnement

1. Installez Python 2.7

$ curl -L -O https://www.python.org/ftp/python/2.7.12/Python-2.7.12.tgz
$ tar zxvf Python-2.7.12.tgz
$ cd Python-2.7.12
$ ./configure
$ make && make altinstall

2. Installez pip

$ curl -kL https://raw.github.com/pypa/pip/master/contrib/get-pip.py | python

3. Modifié pour utiliser yum Correction de l'interpréteur de commandes yum pour exécuter Python existant (version 2.6)

$ vi /usr/bin/yum
 Exemple) Corrigé comme suit
!/usr/bin/python2.6

4. Préparation de l'outil créé --Lors de l'utilisation comme commande

$ pip install packetseq

--Lorsque vous utilisez uniquement le programme Enregistrer dans l'environnement où packetseq.py est exécuté

2-2. Procédure d'utilisation (présentation)

1. Capture de paquets à l'emplacement du chemin de communication
2. Exportez uniquement la communication d'un port spécifique à partir du fichier de capture
3. Enregistrer en tant que fichier csv
4. Envoyez le fichier csv sur l'environnement d'exécution de l'outil créé cette fois
5. Exécutez l'outil
6. Entrez le nom de l'appareil opposé entre la communication depuis l'entrée standard
7. Diagramme de séquence créé

2-3. Procédure d'utilisation (explication)

Cette fois, je vais vous expliquer comment l'utiliser en fonction de l'environnement suivant

 Client (Windows 7) --- Proxy (Squid) --- Serveur (nifty.com, etc.)

1. Capture de paquets à l'emplacement du chemin de communication Wireshark a été utilisé sur Client (Windows 7) et tcpdump a été utilisé sur Proxy (Squid). Exemple) Capture de paquets sur le client

 Exécutez WireShark et enregistrez lorsque la communication est terminée
 Le nom de fichier est arbitraire, enregistrez-le sous client.pcap

Exemple) Capture de paquets sur un serveur proxy

$ tcpdump -i eth1 -w proxy.pcap
 Le nom du fichier est arbitraire, enregistrez-le sous proxy.pcap

2. Exportez uniquement la communication d'un port spécifique à partir du fichier de capture Ouvrez le fichier que vous avez capturé plus tôt avec WireShark et réduisez-le à un port spécifique Plus précisément, vérifiez le numéro de port lors de l'envoi de l'indicateur SYN de la prise de contact à 3 voies. Filtrer sur WireShark

 tcp.port == numéro de port

3. Enregistrer en tant que fichier csv Enregistrer au format csv avec WireShark Exemple) Capture de paquets sur le client

 Le nom du fichier est arbitraire, enregistrez-le sous client.csv

Exemple) Capture de paquets sur un serveur proxy

 Le nom du fichier est arbitraire, enregistrez-le sous proxy.csv

4. Envoyez le fichier csv sur l'environnement d'exécution de l'outil créé cette fois
5. Exécutez l'outil Puisqu'il y a deux points de collecte cette fois, transmettez les fichiers capturés précédemment comme arguments dans l'ordre de proximité du côté client et exécutez --Lors de l'installation à partir de pip, etc. et de l'utilisation des commandes à partir de

$ packetseq client.csv proxy.csv

• Lors de l'exécution à partir du packetseq.py enregistré

$ python packetseq.py client.csv proxy.csv 

6. Entrez le nom de l'appareil opposé entre la communication depuis l'entrée standard Vous serez invité par l'entrée standard à entrer le nom deux fois, source-ip et destination-ip pour chaque fichier L'exemple ci-dessous est entre le client et le proxy, j'ai donc choisi "Client" et "Proxy".

\########################################
file_name:client.csv
\########################################
src ip:192.168.1.3 -> src name: ???
 entrée src nom> Client (★ entrée standard)
dst ip:192.168.1.62 -> dst name: ???
 entrée nom dst> Proxy (★ entrée standard)

Ensuite, une entrée est également requise entre les serveurs proxy, j'ai donc choisi "Proxy" et "Sever".

\########################################
file_name:proxy.csv
\########################################
src ip:192.168.1.3 -> src name: ???
 entrée src nom> Proxy (★ entrée standard)
dst ip:192.168.1.62 -> dst name: ???
 entrée nom dst> Serveur (★ entrée standard)

7. Diagramme de séquence créé Les fichiers out.png et out.diag sont créés out.png est un diagramme de séquence au format PNG Fichier au format Seqdiag à partir duquel out.diag était la source de la génération d'image

$ file out.*
out.diag: ASCII text, with very long lines
out.png:  PNG image data, 1856 x 31706, 8-bit/color RGBA, non-interlaced

De gauche, c'est un diagramme de séquence de "Client", "Proxy", "Web"
Cela vous donnera une séquence de paquets à plusieurs endroits

3. À propos des outils

3-1. Code source

Voir packetseq.py

3-2. Déroulement du processus

1. Passez le fichier csv comme argument
2. Détectez la communication entre les communications du drapeau SYN pour chaque fichier 3.2 Passer le nom du nœud opposé en 2 comme entrée standard
3. Remplacez l'adresse IP par le nom spécifié en 3.
4. Sortie au format Seqdiag
5. Passer à Seqdiag pour afficher l'image

3-3. Facultatif

3-4. Spécification des couleurs

mot-clé de couleur css peut être spécifié Exemple) Spécification sur le code source

Les paramètres de couleur sont spécifiés dans self.color_dict de la fonction \ __ init__

 #Dictionary des informations de couleur
        self.color_dict = {
            'SYN': "blue", 'SYN ACK': "red",
            'ACK': "green",
            'FIN': "navy", 'FIN ACK': "maroon",
            'RST': "purple", 'RST ACK': "fuchsia",
            'URG': "olive", 'PSH': "orange",
            'Other': "gray",
        }

3-5. Sortie des informations sur les paquets

1. "summary" indicateur tcp et données transmises uniquement
2. "info" info Affichage complet des données
3. "default" Supprimer le sport et le port

4. Défis

• Je veux faciliter l'affichage de l'heure et voir où se produit le retard
• Je souhaite faciliter la visualisation de la correspondance des paquets et associer les données transmises à l'ACK correspondant.
• Permet aux parties codées en dur telles que la spécification de couleur d'être spécifiées à partir du fichier de configuration

5. Attention

• Puisqu'il est trié par heure, le diagramme de séquence correct ne sera pas obtenu si l'heure est désactivée (bien que ce soit naturel).
• En fonction de la police (?) Dans l'environnement de création de diagramme de séquence, l'affichage des caractères des informations de paquet peut être légèrement corrompu (sous investigation).