Fehlersuche und Hackerabwehr: Netzwerkanalyse für Einsteiger

Als Default-Einstellung listet Omnipeek alle Pakete der Reihe nach auf. Es gibt aber, wie bei den meisten Analyzern, darunter auch Wireshark, zwei weitere Fenster: Das Decode- und das Hex-Fenster. Eingeblendet werden sie über zwei Buttons oben links im Capture-Bereich. Sobald sie aktiv sind, zeigen sie das Paket mit Details an. Der Hex-Abschnitt erscheint sogar als reine Hex-Zahlenabfolge. Das ist nur beim Fehlersuchen oder beim Bau komplexer Filter notwendig, für den Anfang ist die Paketliste und das Decode-Fenster ausreichend.

Was kann man nun mit den aufgezeichneten Daten anfangen? Eine ganze Menge. Auf der linken Seite zeigt eine Baumansicht die verschiedenen Tools zur Analyse an. Es gibt neben der Paketliste einen Statistikteil, der die gefundenen Netzwerkknoten, die verwendeten Protokolle oder eine Zusammenfassung anzeigt. Alle IP-Adressen, vor allem die Adressen aus dem Internet, können mit Strg-R aufgelöst, das heißt in ihren Klartextnamen umgesetzt werden. Die rechte Maustaste öffnet immer ein Kontextmenü, das weitere Infos anbietet oder die Daten eines Netzknotens oder Protokolls sofort in einen Filter einträgt.

Spannend ist der „Expert“-Bereich. Dort analysiert die Software alle Pakete und meldet Fehler oder Abläufe, die optimiert werden könnten. Leider läuft die 25-Node-Beschränkung der Personal-Version bald voll, so dass man, falls das Expertensystem die Vorgänge im eigenen Netz analysieren soll, tunlichst nicht im Internet browsen sollte: Auch Google.com zählt als Node. Schön sind die Peermaps anzusehen, in denen die Software alle Beziehungen zwischen den gefundenen Nodes grafisch anzeigt. Das klappt sogar bei sehr vielen Netzknoten, ohne unübersichtlich zu werden. Spannend ist dabei immer wieder, zu sehen, welche Netzverbindungen das Aufrufen einer Internetseite nach sich zieht. Hier greift die 25-Node-Beschränkung nicht, die Peer-Map kann ordentlich groß werden.

Mehr praktischen Nutzen haben die Diagramme. Wildpackets liefert eine große Anzahl vordefinierter Trendanalysen mit, die man im Rahmen des Capture-Vorgangs anzeigen kann. So gibt es zehn Diagramme speziell für WLAN-Netze und eigene VoIP-Analysen. Man kann aber aus den meisten Analyse-Tools eigene Diagramme erstellen lassen, die Omnipeek dann in die Liste einfügt.

Eine Sonderfunktion nimmt die Tools-Kategorie ein. Hier kann man Plugins und Filter von der Wildpackets-Website herunterladen und einbinden. Die Plugins werden nur in das gleichnamige Verzeichnis von Omnipeek Personal kopiert und stehen beim nächsten Start zur Verfügung. Nicht alle Helferlein sind kostenlos zugänglich, allerdings eine ganze Reihe von ihnen.

Sehr interessant ist beispielsweise das IM-Plugin, das aus den mitgeschnittenen Paketen die Instant-Messaging-Konversation rekonstruiert und im Klartext anzeigt. Ebenfalls spannend ist Watchme – hier extrahiert das Plugin die angesurften Websites aus dem Datenstrom und zeigt sie in einem Mini-Browser an.