1. UNIVERSIDADE FEDERAL DE PELOTAS
INSTITUTO DE FÍSICA E MATEMÁTICA
DEPARTAMENTO DE INFORMÁTICA
BACHARELADO EM CIÊNCIA DA COMPUTAÇÃO
ANALISADORES DE PROTOCOLO: COMPARAÇÃO E USO
Jerônimo Medina Madruga
Trabalho de pesquisa apresentado na disciplina de Redes
de Computadores 2 do Curso de Bacharelado em Ciência
da Computação, Instituto de Física e Matemática,
Universidade Federal de Pelotas. Professora: Ana Marilza
Pernas
2007

2. 2
Lista de Figuras
Figura 1 – Tela inicial do Wireshark ........................................................................ 12
Figura 2 – Tela de escolha de interface do Wireshark ........................................... 12
Figura 3 - Resultado de uma captura de pacotes no wireshark .............................. 13
Figura 4 – Tela Inicial do Ettercap ........................................................................... 14
Figura 5 - Resultado de uma captura de pacotes no Ettercap ................................ 14
Figura 6 - Conexões ativas capturadas pelo Ettercap............................................. 15

3. 3
Sumário
Introdução ............................................................................................................. 4
1. Analisadores de protocolo .............................................................................. 5
2. Características dos analisadores de protocolo ................................................ 6
3. Wireshark ......................................................................................................... 9
4. Ettercap ........................................................................................................ 10
5. Uso dos softwares......................................................................................... 12
6. Conclusão ..................................................................................................... 16
Referências ......................................................................................................... 17

4. 4
Introdução
O objetivo deste trabalho é apresentar conceitos sobre softwares
analisadores de protocolo, mostrando suas características básicas e
funcionalidades, e também fazer uma comparação entre dois programas desse
gênero, mostrando como funcionam e as diferenças entre eles.

5. 5
1 Analisadores de Protocolo
Analisadores de protocolo são ferramentas capazes de monitorar o tráfego
de uma rede em tempo real, possuindo diferentes características e funcionalidades,
assim como formas variadas de apresentar as informações capturadas, variando de
acordo com o modelo do produto.
Os analisadores de protocolo permitem a monitoração de uma rede
transparentemente, sem interferir em nenhuma transmissão. Muitos modelos
permitem a captura e gravação, analisando e relatando para o gerente os pacotes
que foram transmitidos em uma rede. A captura pode ser feita ao nível de tráfego
global, mostrando tudo o que passa pela rede, ou de modo específico, capturando
pacotes de acordo com parâmetros escolhidos (tais como endereço origem, destino,
trechos de conteúdo).
Um analisador de protocolo pode ser utilizado para uma grande variedade
de propósitos, tais como a detecção de falhas de software e hardware, otimização
da rede, isolamento de cabos com problemas. Além disso, quando os analisadores
decodificam desde protocolos das camadas inferiores até protocolos das camadas
superiores, facilitam a localização de problemas em camadas específicas.
Os analisadores de protocolos são muito úteis para o gerenciamento de
redes, fornecendo informações para resolver seus problemas. Graças à coleta de
dados de tráfego da rede, apresentam o estado de muitas variáveis diferentes e as
estatísticas obtidas destas variáveis. Alguns analisadores possuem um pacote de
estatísticas sofisticado, que geram gráficos para análise visual. Com estes gráficos,
é possível observar diversos parâmetros da rede, tais como colisões, erros,
quantidade de quadros de broadcast, utilização da rede. Em posse destes dados, é
facilitada ao gerente a tarefa de identificar tendências, levantar hipóteses e efetuar
modificações antes da ocorrência de problemas, contribuindo em muito para a
gerência da rede.

6. 6
2 Características dos analisadores de protocolo
Existem diversas características comuns aos analisadores de protocolo,
sendo assim, podemos ressaltar essas características como sendo as mais
importantes:
Captura e Armazenagem: Os pacotes capturados podem ser mostrados sem
filtros ao usuário, apresentando tudo o que passa pela rede. Porém, é importante a
capacidade de filtrar os pacotes de acordo com parâmetros escolhidos pelo gerente,
tais como endereço de origem, endereço de destino, palavra de conteúdo, etc.
Alguns analisadores mostram apenas os percentuais do que está passando pela
rede, de acordo com a decodificação efetuada, não oferecendo a possibilidade de
mostrar os pacotes efetivamente.
A captura de informações tem grande importância para o gerenciamento,
pois permite verificar a ocorrência de pacotes não sincronizados, corrompidos, com
erros de checksum, com falta de preâmbulo; permite verificar as percentagens de
pacotes grandes e pequenos, unicast ou broadcast; permite acompanhar o que os
usuários estão fazendo, detectando atividades ilegais e anti-éticas.
É importante também que os analisadores possuam a capacidade de
armazenar os dados em disco, de modo que seja possível ao gerente analisá-los
posteriormente e até compará-los com dados de outros testes.
Composição de tráfego: Como uma rede pode suportar vários tipos de
protocolos (TCP/IP, IPX, NetBios, DECnet, OSI, etc), é importante que os
analisadores analisem o conteúdo de todos os tipos de pacotes que estão
trafegando na rede. A ferramenta deve possuir a capacidade de decodificar os
campos dos pacotes e apresentá-los ao usuário, para permitir um controle do tráfego
da rede. Estes campos deve ser decodificados de modo a serem facilmente
compreendidos pelo usuário: endereços origem e destino podem ser convertidos
para os nomes das máquinas; os tipos de protocolos que estão sendo utilizados,
desde os níveis mais baixos até os mais altos, devem ser mostrados; assim como
outras informações que fazem parte do pacote capturado. Estas características

7. 7
permitem que o gerente descubra mais rapidamente qual a estação está
transmitindo, qual a aplicação está sendo utilizada, etc, podendo avaliar de forma
mais rápida e eficiente a rede.
Além da capacidade de decodificar os pacotes capturados, alguns
analisadores apresentam ao usuário um percentual de quais aplicações estão sendo
mais utilizadas, e por quais máquinas. Isto é bastante importante no entendimento
de problemas de tráfego e desempenho, onde é importante entender a composição
do tráfego da rede.
É desejável que os analisadores suportem diferentes topologia de hardware
(tais como Ethernet, Token Ring, FDDI), bem como diferentes sistemas
operacionais.
Contagem de pacotes: A contagem de pacotes é uma medida que deve ser
oferecida pelos analisadores, de modo a se obter o número de pacotes que estão
sendo transmitidos pela rede. Preferencialmente, a contagem deve poder ser
subdividida em origem e destino do pacote, comprimento do pacote, tipo ou
condição de erro, pacotes corrompidos, etc. Essa medida é utilizada para indicar
quando um canal de transmissão está sobrecarregado.
Outra medida que deve ser oferecida é a vazão da rede, medindo o número
de quadros ou bits que estão passando através da rede. Esta medida é utilizada
para verificar se os problemas ocorrem em um certo intervalo de tempo ou podem
ser devidos a um certo evento específico.
Estatísticas: Para planejar o crescimento de uma rede, assim como
gerenciar novas tarefas, é necessário uma indicação de quanto trabalho está sendo
executado. O uso de estatísticas auxilia o planejamento, tornando possível verificar
o tempo de resposta de uma rede que esteja crescendo e aumentando a carga.
Além disso, tais estatísticas podem determinar o tamanho mínimo, máximo e médio
dos pacotes sendo transmitidos, o que é proveitoso para determinar qual o tipo de
atividade está predominantemente sendo usada na rede.
Analisadores de protocolos muitas vezes são capazes de coletar estatísticas
das estações separadamente, pela identificação fornecida pelos quadros que
trafegam pela rede. Isso é bastante desejável, sendo bastante útil para o
gerenciamento, pois permite detectar estações sobrecarregadas e muito utilizadas.

8. 8
Simulação: Através de softwares especializados, se constroem pacote de
qualquer tamanho ou conteúdo, que são transmitidos. Estes pacotes podem conter
qualquer combinação de erros, endereços origem e destino, conteúdo de dados.
Assim, é possível testar dispositivos específicos como servidores, pontes e
roteadores para verificar a quantidade de tráfego que podem manipular, o seu
desempenho, etc. Pode-se utilizar a simulação também apenas para aumentar a
carga da rede artificialmente, fornecendo estatísticas não disponíveis numa situação
de rede normal.
Taxa de Colisões: Os analisadores devem informar a taxa de colisões e
erros que estão ocorrendo num teste.
A colisões ocorrem quando duas ou mais máquinas transmitem
simultaneamente. Quando a taxa de colisões está alta, é possível que a rede esteja
sobrecarregada, com número de nodos excessivo, com estações de trabalho em
número excessivo, com transmissões muito prolongadas, com transceptores
defeituosos ou com hardware ou software defeituosos, devendo ser analisada para
solução dos problemas.
Sistemas Especialistas: Atualmente, está crescendo dentre os analisadores
de protocolo a presença de sistemas especialistas. Com estes sistemas, problemas
são identificados e é apresentado ao usuário a solução a ser tomada, de acordo com
uma base de conhecimento criada anteriormente. São, muitas vezes, apresentadas
indicações específicas dos motivos para uma rede estar com desempenho ruim.
Além disso, um analisador inteligente tem a capacidade de capturar e relatar
somente condições e eventos significativos em uma rede.

9. 9
3 Wireshark
Wireshark é um software analisador de protocolos que tenta capturar
pacotes de dados em uma rede e mostrar os dados sobre os mesmos da forma mais
detalhada possível.
Os principais propósitos deste software são:
• Ajudar administradores de rede a detectar problemas na rede
• Ajudar Engenheiros de segurança de redes a examinar os problemas
de segurança
• Ajudar desenvolvedores a realizar inspeções na implementação de
protocolos
• Ajudar pessoas a aprender os detalhes dos protocolos das redes.
As principais características do wireshark são:
• Disponível para Windows e Unix.
• Captura em tempo real de pacotes de dados de uma interface de rede
• Mostra dos pacotes com informações sobre os protocolo muito
detalhada.
• Possibilidade de abrir e salvar arquivos com informações sobre os
pacotes capturados.
• Importação e exportação dos dados dos pacotes para formatos de
diversos outros programas de captura.
• Filtragem de pacotes por diversos critérios.
• Procura de pacotes por diversos critérios.
• Pacotes mostrados de forma colorida de acordo com os filtros.
• Criação de diversos tipos de estatísticas.
• É um software livre segundo a licença GPL versão 2.

10. 10
4 Ettercap
EtterCap é descrito como um sniffer multi-propósito, interceptador de
pacotes e Logger para LANs com switches.
Ele suporta dissecação ativa e passiva de protocolos, até mesmo os
encapsulados, e inclui várias funcionalidades para análise de rede e de hosts. Entre
as funcionalidades estão:
• Injeção de caracteres em conexões estabelecidas: O Ettercap pode
injetar caracteres para o servidor (emulando comandos) ou para o
cliente (emulando respostas) mantendo as conexões vivas.
• Suporte ao SSH1: O Ettercap pode capturar usuário e senha, mesmo
através de uma conexão criptografada SSH1.
• Suporte à HTTPS: O Ettercap pode capturar dados http SSL, até
mesmo se a conexão for feita por um PROXY.
• Tráfego remoto através de GRE tunnel: O Ettercap pode capturar
tráfego remoto passando através de um tunel GRE de um roteador
Cisco remoto e fazer um ataque mitm (man in the middle) no roteador.
• PPTP broker: O Ettercap pode fazer ataques mitm contra dados
tunelados por PPTP.
• Coletor de password para: TELNET, FTP, POP, RLOGIN, SSH1, ICQ,
SMB, MySQL, HTTP, NNTP, X11, NAPSTER, IRC, RIP, BGP,
SOCKS 5, IMAP 4, VNC, LDAP, NFS, SNMP, HALF LIFE, QUAKE 3,
MSN, YMSG.
• Filtro de pacotes / derrubar pacotes: O Ettercap pode configurar um
filtro de pacotes para procurar uma string em particular (até mesmo
hex) no conteúdo dos pacotes TCP e UDP e substituir uma string por
uma especificada pelo usuário ou simplesmente derrubar o pacote
todo.
• Identificação de Sistema Operacional: O Ettercap pode descobrir SO
do host vítima ou até mesmo da sua interface de rede.

11. 11
• Terminar uma conexão: A partir de uma lista de conexões, o Ettercap
pode terminal qualquer conexão que usuário queira.
• Scanner passivo da LAN: Você pode conseguir informações sobre: os
hosts que estão na LAN, porta abertas, versão de serviços, tipo de
host (gateway, roteador ou um host simples) e a distância estimada
em hops (saltos).
• Checagem de outros atacantes: o ettercap tem a habilidade de achar
outros atacantes na LAN.

12. 12
5 Uso dos softwares
Wireshark:
Faça o download e instale o programa. Quando for perguntado se o WinPcap
deve ser instalado, responda que sim caso o Wincap não esteja instalado no
sistema. Como o WireShark precisa desta biblioteca de captura de pacotes para
funcionar, ela está incluída no instalador. Concluída a instalação, rode o programa e
ele deverá ter uma interface semelhante a ilustrada na Fig.1:
Figura 1: Tela inicial do wireshark
Após ter aberto o programa, deve ser indicada a interface de rede que deve
ser rastreada. Para realizar essa ação, clique no menu “Capture”, e depois na opção
“Interfaces” para abrir a janela de escolha mostrada na Fig.2:
Figura 2: Tela de escolha de interface do Wireshark

13. 13
Escolha uma interface e clique no botão “Start”- se a interface estiver ativa, o
rastreamento começa imediatamente e a janela principal do WireShark começa a
mostrar uma porção de pacotes., como pode ser visto na Fig.3:
Figura 3: Resultado de uma captura de pacotes no wireshark
Para interromper a captura de pacotes clique no quarto botão da barra de
ferramentas ou no item de menu “Capture” e na opção “Stop”. Após capturado os
pacotes a serem analisados, pode salvar as informações ou aplicar filtros sobre eles,
para mostrar somente os pacotes relevantes para uma certa atividade.
Ettercap:
Após ter sido instalado, inicie o programa (atenção, caso haja um erro na
execução, há possibilidade ser pela falta do Winpcap, que também necessário para
o funcionamento desse programa). A tela deve ser como ilustrado na fig.4

14. 14
Figura 4: tela inicial do ettercap
Tendo iniciado o programa, escolha primeira mente o modo do programa,
entre inofensivo e modo promiscuo no menu de “Options” e depois clique no menu
“Sniff” e no tipo de atividade a ser realizada de acordo com a rede, “unified Sniffing”
ou “Bridged sniffing”. Após escolhido a atividade a ser realizada, devera ser
selecionada a interface a ser utilizada, como ilustrado abaixo na fig. 5:
Figura 5: Tela de escolha de interface no Ettercap
Depois da escolha da interface, escolha a opção “start sniffing” dentro do
menu “Start” e escolha uma das diversas opções desse software para verificar as
atividades na rede, como as conexões ativas no computador em questão, como é
demonstrado na fig. 6:

15. 15
Figura 6: Conexões ativas capturadas pelo Ettercap

16. 16
Conclusão
Nesse trabalho, foi possível verificar a vasta gama de possibilidades dos
analisadores de protocolo, tendo diversas características diferentes, pode se ver que
cada analisador de pacote pode ter objetivos completamente diferentes do que
softwares da mesma categoria, apesar de terem características muito similares.
Como exemplo disto, vemos a comparação entre o Wireshark, que contém
as funcionalidades de um analisador de pacotes passivo, com grande base de dado
de estáticas, informações detalhadas sobre os pacotes, diversos tipos de filtragem
de acordo com protocolos, enfim, diversos recursos que ajudam o administrador da
redes a analisar a rede ser interferir no seu funcionamento, já o Ettercap pode ser
visto como um programa mais intrusivo, com a possibilidade de captura de senhas,
quebra de criptografia, mac spoofing e ataque de ARP, ferramentas que tem uma
utilização mais ligada a verificação da segurança da rede.

17. 17
Referências
http://pt.wikipedia.org/wiki/Wireshark
http://en.wikipedia.org/wiki/Wireshark
http://www.sailingcrusade.com/?p=21
http://ettercap.sourceforge.net/
http://www.openmaniak.com/ettercap.php
http://sectools.org/sniffers.html
http://wiki.wireshark.org/
http://www.rootshell.be/~dhar/downloads/Sniffers.pdf
http://web.archive.org/web/20050221103207/http://www.robertgraham.com/pubs/sniff
ing-faq.html
http://www.irongeek.com/i.php?page=security/AQuickIntrotoSniffers