Darkstat-Paketschnüffler

Februar

2024

Linux

28 Februar 2024 17:07

Darkstat ist ein kostenloses plattformübergreifendes Netzwerktool zum Sammeln und Anzeigen von Statistiken zur lokalen Netzwerknutzung.

Einführung

Bei der Nutzung eines lokalen Netzwerks ist es manchmal hilfreich zu wissen, was im gesamten Netzwerk passiert, um das Gesamtbild zu ermitteln:

ungewöhnlicher Anstieg des Datenverkehrs (großes Sende- oder Empfangsvolumen, Anfragen mit hoher Häufigkeit)
Manifestation neuer, nicht autorisierter PCs oder Geräte anderer Personen im lokalen Netzwerk
Fehlerbehebung (z. B. Anfragen an einen bestimmten Port oder ein bestimmtes Protokoll ohne Antwort).
Das Auftreten nicht standardmäßiger Protokolle oder das Öffnen von Ports auf lokalen PCs (kann durch Malware verursacht werden).

Es empfiehlt sich, dies alles langfristig (24/7) und 365 Tage im Jahr durchzuführen.

Da spezielle Software und Hardware nicht verfügbar sind und für Amateurzwecke nicht benötigt werden, werden einfachere Lösungen verwendet. Es gibt zum Beispiel Darkstat- Netzwerk Verkehrsanalysator (Sniffer).

Im Gegensatz zu professionellen Netzwerk-Tools wie Wireshark oder tcpdump erfasst Darkstat nicht ganze Netzwerkpakete, sondern betrachtet nur die Paket-Header. Darkstat verwendet eine in C++ geschriebene Systembibliothek, die im Linux-Kernel läuft. Daher ist Darkstat anspruchslos für die PC-Ressourcen (CPU-Auslastung weniger als 1 %, RAM-Verbrauch nicht mehr als 1,7 MB).

Die Darkstat-Anwendung besteht aus zwei Teilen:

ein Dienst, der ständig im Hintergrund läuft und Daten erfasst und in seiner Datenbank (DB) sammelt.
Webinterface unter http://localhost:667..

Darkstat-Funktionen

Abfangen des lokalen Netzwerkverkehrs mithilfe der libpcap-Kernelbibliothek
Eingabe abgekürzter Informationen (Quell-IP/MAC-Empfänger, Ports, Protokoll) in Ihre Datenbank (im Ordner /var/lib/darkstat)
Folgende Optionen stehen im Webinterface zur Verfügung:
Zählung der gesehenen und erfassten Pakete und des Verkehrsaufkommens
Lesezeichen Grafiken= Diagramme der empfangenen/gesendeten Pakete – nach Sekunden, Minuten, Tagen und Stunden, mit Angabe der Geschwindigkeit
Lesezeichen Gastgeber- detaillierte Informationen zu jeder IP-Adresse
Zählen der Anzahl der Host-Pakete nach Port: netbios-dgm, netbios-ns und bootps
Zählen der Anzahl der Host-Pakete nach Protokoll (TCP, UDP, ICMP, IGMP, GRE)
IP-Adressen in der Datenbank werden zur bequemen Darstellung auf dem Bildschirm asynchron in Namen umgewandelt.
IPv6-Protokollunterstützung, TCP.UDP-Unterstützung, Multicast und andere Protokolle (Netbios, HIP, DNS mDNS).

Darkstat installieren

Die Verkehrserfassungsbibliothek libpcap ist im Linux-Kernel enthalten und erfordert keine Installation.

Installation für verschiedene Betriebssysteme:

Ubuntu/XUbuntu/Linux Mint

sudo apt install darkstat

Debian:
su -
apt install darkstat

Fedora:

sudo dnf install darkstat

CentOS

sudo yum install darkstat

Darkstat einrichten

Die Konfiguration befindet sich in der Datei /etc/darkstat/init.cfg. Es muss vor dem Start verbessert werden.
Hier sind die wichtigen Zeilen in der Konfigurationsdatei:

sudo nano /etc/darkstat/init.cfg

START_DARKSTAT=ja
INTERFACE="-i enp1s10" 
DIR="/var/lib/darkstat" 
DAYLOG="--daylog darkstat.log"

wo:
START_DARKSTAT – der Wert muss auf gesetzt sein „Ja“
-i enp1s10- Name der Netzwerkkartenschnittstelle (ermitteln Sie mit dem Befehl ip addr). Wenn Sie den Parameter INTERFACE nicht angeben oder falsch festlegen, kann Darkstat keine Pakete abhören (es wird nicht funktionieren).
„/var/lib/darkstat“- Arbeitsverzeichnis (standardmäßig sollte es nicht geändert werden). Außerdem werden die Datenbank und das Start-/Stoppprotokoll des Programms gespeichert.
--daylog darkstat.log- Dateiname für die Aufzeichnung von Programmstarts/-stopps (befindet sich im Arbeitsverzeichnis).

Darkstat wird gestartet

Unter Ubuntu/Debian und MX Linux mit SystemD-Startsystem:

sudo systemctl start darkstat
sudo /lib/systemd/systemd-sysv-install enable darkstat
sudo systemctl status darkstat

In antiX oder wenn in MX Linux ausgewählt sysV-Initialisierungssystem anstelle von SystemD:

sudo /etc/init.d/darkstat start
sudo chkconfig darkstat on
sudo /etc/init.d/darkstat status

Webschnittstelle

Um den Zugriff auf Statistiken von anderen PCs im Netzwerk zu ermöglichen, müssen Sie die Firewall „uwf“ konfigurieren

sudo ufw allow 667/tcp
sudo ufw neu laden

Um den Zugriff von anderen PCs auf diesen Computer über den Darkstat-Port zu schließen667:

sudo ufw deny 667/tcp
sudo ufw reload

Um die Weboberfläche anzuzeigen, gehen Sie zur Adresse. Kein Benutzername oder Passwort erforderlich

[http://localhost:667](http://localhost:667)

Blog über Radio und Linux