Sniffer

Ein Sniffer (von Skriptfehler: Ein solches Modul „Vorlage:lang“ ist nicht vorhanden. für „schnüffeln“) ist eine Software, die den Datenverkehr eines Rechnernetzes analysieren kann. Es handelt sich um ein Werkzeug (Tool) der Netzwerkverkehrsanalyse.

Herkunft des Begriffs[Bearbeiten]

Sniffer ist das englische Wort für Schnüffler. Der Hersteller Network General bezeichnete damit eine 1986 veröffentlichte Software zur Analyse von Netzwerken auf Auffälligkeiten im Datenverkehr.<ref>Skriptfehler: Ein solches Modul „Vorlage:Internetquelle“ ist nicht vorhanden. Computer History Museum, abgerufen am 3. September 2022. </ref> Da der Name dieses Produkts die Funktion der Software zutreffend beschrieb, hat er sich zum Begriff für Software dieser Art durchgesetzt.

Aufgaben von Netzwerk Sniffern[Bearbeiten]

Da Computernetzwerke kritische Infrastruktur sind, gibt es wichtige Gründe für den Einsatz von Sniffern zur Analyse des Datenverkehrs im Netzwerk. Sie dienen der Sicherstellung eines gut funktionierenden Netzwerkes. Sie werden, unter anderem, für folgende Aufgabengebiete eingesetzt.<ref>Stephan Lamprecht: Skriptfehler: Ein solches Modul „Vorlage:Internetquelle“ ist nicht vorhanden. In: Skriptfehler: Ein solches Modul „Vorlage:Internetquelle“ ist nicht vorhanden. 7. Oktober 2019, abgerufen am 3. September 2022 (Lua-Fehler in Modul:Multilingual, Zeile 153: attempt to index field 'data' (a nil value)). </ref>

Analyse von Verbindungsproblemen im Netzwerk
Ursachenanalyse von ungenügender Datenübertragungsgeschwindigkeit
Ursachensuche bei auffallend starkem Datentransfer
Eindringungsversuche entdecken (Intrusion Detection Systems)
Netzwerktraffic-Analyse und Filterung nach verdächtigem Inhalt

Unrechtmäßig im Netzwerk installierte Sniffer können jedoch auch im Rahmen von Datenspionage eingesetzt werden.<ref>Alan Joch: Skriptfehler: Ein solches Modul „Vorlage:Internetquelle“ ist nicht vorhanden. 23. Juli 2001, abgerufen am 3. September 2022 (Lua-Fehler in Modul:Multilingual, Zeile 153: attempt to index field 'data' (a nil value)). </ref>

Technik[Bearbeiten]

Sniffer können nur Datenpakete analysieren, welche an der Netzwerkschnittstelle des eingesetzten Systems ankommen. In den frühen Zeiten der Computernetzwerke wurden häufig Hubs zur Verteilung der Netzwerkpakete eingesetzt. Diese haben jedes Datenpaket an alle angeschlossenen Systeme im Netzwerk weitergeleitet. Daher konnten Sniffer an jeder beliebigen Stelle im Netzwerk installiert werden und konnten alle Datenpakete analysieren, sofern er im Promiscuous Mode betrieben wurde.

Seitdem Netzwerke effizienteres Routing betreiben (beispielsweise mit Switchen) sehen Systeme nur noch Datenpakete, die für sie oder das gesamte Netzwerk bestimmt sind. In diesem Fall gibt es mehrere Möglichkeiten, um dennoch alle Daten abgreifen und analysieren zu können, beispielsweise durch den Einsatz hardwarebasierter und in die Netzwerkverbindung eingeschleifter Network-TAPs (Skriptfehler: Ein solches Modul „Vorlage:lang“ ist nicht vorhanden.) oder durch spezielle Einstellungen am Switch das Spiegeln des Datenstroms (Skriptfehler: Ein solches Modul „Vorlage:lang“ ist nicht vorhanden.) bestimmter Ports auf einen Ausgabeport (Monitor-Port). Daneben bestehen verschiedene Methoden, welche im Regelfall nicht die Vollständigkeit der abgegriffenen Daten garantieren wie ARP-Spoofing, ICMP-Redirects, DHCP-Spoofing oder MAC-Flooding.

Verschlüsselte Datenübertragung[Bearbeiten]

Gerade im Bereich der Internetkommunikation setzen sich verschlüsselte Übertragungsprotokolle, wie https, durch. Verschlüsselte Datenpakete liefern nur rudimentäre Informationen zum Verlauf der Datenpakete (beispielsweise Absender und Ziel IP-Adresse), liefern aber keinen lesbaren Inhalt.

Rechtslage in Deutschland[Bearbeiten]

Das Mitschneiden des Netzwerktraffics unwissender Personen fällt in manchen Fällen unter Ausspähen von Daten gemäß § 202a dem deutschen Strafgesetzbuch (StGB).<ref>Stefan Luber: Skriptfehler: Ein solches Modul „Vorlage:Internetquelle“ ist nicht vorhanden. Abgerufen am 3. September 2022. </ref><ref>Skriptfehler: Ein solches Modul „Vorlage:Internetquelle“ ist nicht vorhanden. In: Skriptfehler: Ein solches Modul „Vorlage:Internetquelle“ ist nicht vorhanden. Abgerufen am 3. September 2022. </ref>

Bekannte Sniffer-Produkte und ihre Einordnung[Bearbeiten]

(Produkt-Übersicht: siehe unten)

Allgemein wird unterschieden zwischen:

Local Analyzer ↔ Remote Analyzer / Distributed Analyzer – Local Analyzer sind klassische PC-Programme. Remote Analyzer sind in fernen LAN-Segmenten stehende Agenten, die von einer zentralen Station angesteuert werden – wie im Netzwerk-Management-Bereich lange schon üblich. Man spricht dann von Distributed Analysis. In stark durch Switching/Routing segmentierten Netzwerken ist diese Art der Analyse letztlich unverzichtbar.
Hardware Analyzer ↔ Software Analyzer – Wurde bis Mitte der 1990er Jahre noch sehr stark auf Hardware-Analyzer gesetzt, haben sich heute weitgehend Software-Analyzer durchgesetzt, die auf PC-Basis arbeiten. Zwar ist in Hochleistungs-Netzwerken der Einsatz von Hardware-Analyzern weiterhin unverzichtbar; ihre hohen Kosten, die gegenüber Software-Analyzern mäßige Entwicklungsgeschwindigkeit sowie das Kapital-Risiko für den Fall von Fehlern haben die Kundschaft jedoch dazu übergehen lassen, nur dort Hardware einzusetzen, wo sie wirklich völlig unentbehrlich ist. Die Folge ist, dass kaum noch Hersteller von Hardware-Analyzern am Markt tätig sind.
Commercial Analyzer ↔ Non-Commercial Analyzer – Bis Ende der 1990er Jahre hat es praktisch nur proprietäre Analyzer gegeben. Dies hat sich mit Wireshark (ehemals Ethereal) ab 1998 nach und nach geändert.