Renifleur de paquets Darkstat

février

2024

Linux

28 février 2024 17:07

Darkstat est un outil réseau multiplateforme gratuit permettant de collecter et d'afficher des statistiques sur l'utilisation du réseau local.

Introduction

Lorsqu'on utilise un réseau local, il est parfois utile de connaître ce qui s'y passe dans son ensemble, afin d'en dresser une vue d'ensemble :

augmentation anormale du trafic (gros volumes d'émission ou de réception, requêtes à haute fréquence)
manifestation de nouveaux PC ou appareils d'autres personnes non autorisés sur le réseau local
dépannage (par exemple, requêtes vers un port ou un protocole spécifique sans réponse).
l'apparition de protocoles non standards ou l'ouverture de ports sur les PC locaux (peut être provoquée par un malware).

Il est conseillé de faire tout cela sur le long terme (24h/24 et 7j/7) et 365 jours par an.

Étant donné que les logiciels et matériels spécialisés ne sont pas disponibles et ne sont pas nécessaires à des fins amateurs, des solutions plus simples sont utilisées. Par exemple, il y a statistique sombre- réseau analyseur de trafic (renifleur).

Darkstat, contrairement aux outils réseau professionnels tels que Wireshark ou tcpdump, ne capture pas les paquets réseau entiers, mais examine uniquement les en-têtes des paquets. Darkstat utilise une bibliothèque système écrite en C++ qui s'exécute dans le noyau Linux. Par conséquent, darkstat est peu gourmand en ressources PC (charge CPU inférieure à 1%, consommation RAM pas supérieure à 1,7 Mo).

L'application Darkstat se compose de deux parties :

un service qui s'exécute constamment en arrière-plan, capturant et collectant des données dans sa base de données (DB).
*interface Web sur http://localhost:667..

Fonctionnalités de Darkstat

intercepter le trafic du réseau local à l'aide de la bibliothèque du noyau libpcap
saisir des informations abrégées (récepteur IP/MAC source, ports, protocole) dans votre base de données (dans le dossier /var/lib/darkstat)
les options suivantes sont disponibles dans l'interface web :
comptage des paquets vus et capturés et volume de trafic
signet graphiques= graphiques des paquets reçus/transmis - par secondes, minutes, jours et heures, indiquant la vitesse
signet hôtes- des informations détaillées pour chaque adresse IP
compter le nombre de paquets hôtes par port : netbios-dgm, netbios-ns et bootps
compter le nombre de paquets hôtes par protocole (TCP, UDP, ICMP, IGMP, GRE)
Les adresses IP de la base de données sont converties de manière asynchrone en noms pour une présentation pratique lorsqu'elles sont affichées à l'écran.
Prise en charge du protocole IPv6, prise en charge TCP.UDP, multicast et autres protocoles (netbios, HIP, DNS mDNS).

Installation de Darkstat

La bibliothèque de capture de trafic libpcap est incluse dans le noyau Linux et ne nécessite aucune installation.

Installation pour différents OS :

Ubuntu/XUbuntu/Linux Menthe

sudo apt install darkstat

Debian :
su -
apt install darkstat

Fedora :

sudo dnf install darkstat

CentOS

sudo yum install darkstat

Configuration de darkstat

La configuration est dans le fichier /etc/darkstat/init.cfg. Cela nécessite une amélioration avant le lancement.
Voici les lignes significatives du fichier de configuration :

sudo nano /etc/darkstat/init.cfg

START_DARKSTAT=oui
INTERFACE="-i enp1s10" 
DIR="/var/lib/darkstat" 
DAYLOG="--daylog darkstat.log"

où :
START_DARKSTAT - la valeur doit être définie sur "oui"
-je enp1s10- nom de l'interface de la carte réseau (vous pouvez le découvrir avec la commande ip addr). Si vous ne spécifiez pas ou ne définissez pas correctement le paramètre INTERFACE, alors darkstat ne pourra pas écouter les paquets (il ne pourra pas fonctionner).
"/var/lib/darkstat"- répertoire de travail (par défaut, ne doit pas être modifié). Il stockera également la base de données et le journal de démarrage/arrêt du programme.
--daylog darkstat.log- nom du fichier d'enregistrement des démarrages/arrêts du programme (situé dans le répertoire de travail).

Lancement de Darkstat

Sur Ubuntu/Debian et MX Linux avec le système de lancement SystemD :

sudo systemctl start darkstat
sudo /lib/systemd/systemd-sysv-install enable darkstat
sudo systemctl status darkstat

Sous antiX ou si sous MX Linux sélectionné système d'initialisation SysV au lieu de SystemD :

sudo /etc/init.d/darkstat start
sudo chkconfig darkstat on
sudo /etc/init.d/darkstat status

Interface Internet

Pour ouvrir l'accès aux statistiques des autres PC du réseau, vous devez configurer le pare-feu "uwf"

sudo ufw allow 667/tcp
recharger sudo ufw

Pour fermer l'accès des autres PC à cet ordinateur via le port darkstat 667:

sudo ufw deny 667/tcp
sudo ufw reload

Pour afficher l'interface Web, accédez à l'adresse. Aucun nom d'utilisateur ou mot de passe requis

[http://localhost:667](http://localhost:667)

Blog sur la Radio et Linux