Vizuální analýza záchytů síťových paketů

Bc. Juraj Uhlár

Master's thesis

Visual Analysis of Network Packet Capture Files

Abstract:

Analýza záchytu paketov (PCAP) je typickou úlohou sieťových administrátorov a kyber-bezpečnostných analytikov. Veľká časť tejto práce stále vyžaduje manuálne skúmanie dát expertmi. Súčasné nástroje na sieťovú analýzu ako Wireshark poskytujú vysokú flexibilitu na úkor použiteľnosti. Modernejšie nástroje ponúkajú interaktívne vizualizácie ale len obmedzené analytické možnosti. S cieľom uľahčiť prácu sieťovým analytikom sme vyvinuli prototyp nástroja na vizuálnu analýzu a prehľadávanie PCAP súborov. Použitím série filtračných vrstiev nástroj umožňuje rýchlu orientáciu v dátach, odhalenie podozrivej komunikácie alebo zobrazenie detailných profilov jednotlivých sieťových uzlov a ich spojení. Nástroj bol vyvinutý v spolupráci s priemyselným partnerom Flowmon Networks. Za účelom zhodnotenia implementovaného nástroja sme vykonali kvalitatívnu štúdiu použiteľnosti s deviatimi expertmi na sieťovú bezpečnosť. Užívateľské testovanie potvrdilo výhody navrhovaného filtrovacieho systému pri úvodnom prieskume PCAP súboru ako aj všeobecnú užitočnosť nástroja v širokej škále užívateľských scenárov.

Abstract:

Analyzing packet captures (PCAPs) is a typical task in both network operations and security analysis. A large portion of the work still relies on manual data exploration by domain experts. Current state-of-the-art tools for network analysis such as Wireshark provide high flexibility at the expense of usability. More recent tools offer interactive visualizations but only limited analytical capabilities. To support the work of network and security operators we developed a prototype of a novel visual analysis tool for rapid exploration of PCAP files. Using a funnel filtering metaphor, the application allows to quickly drill down through the data to reveal malicious communication or display profiling details of individual nodes or connections between them. The prototype was implemented in cooperation with the industry partner Flowmon Networks. To evaluate our approach, we performed a qualitative usability study of the tool with nine domain experts. It confirmed the filtering method’s benefits for the initial PCAP exploration and the general usefulness of such an application in a wide range of usage scenarios.

Keywords

packet, capture, PCAP, tshark, cybersecurity, data analysis, D3.js, React Node, visualization, web application, Flowmon

Language used: English

Date on which the thesis was submitted / produced: 7. 1. 2021

Thesis defence

• Date of defence: 11. 2. 2021
• Supervisor: RNDr. Vít Rusňák, Ph.D.
• Reader: Ing. Martin Holkovič

Masaryk University

Faculty of Informatics

Master programme / field:
Applied Informatics / Service Science, Management and Engineering