Diagnosetool oder Spyware: So nutzt man Wireshark

Beim Einsatz eines Netzwerkmonitorprogramms denkt man unwillkürlich an das Abhören anderer Benutzer. Doch ein sogenannter Sniffer findet seinen Einsatz vor allem bei der Diagnose von Störungen. Sniffer werden meist eingesetzt, um festzustellen, warum Rechner nicht korrekt miteinander kommunizieren, beispielsweise, warum Rechner A die Mails von Rechner B nicht annimmt.

In den Anfangszeiten des Internets vor der Erfindung des WWW gab es oft kleine Protokoll-Inkompatibilitäten zwischen Programmen verschiedener Hersteller, die durch den Einsatz eines Sniffers entdeckt werden konnten. Oft ließen sich Workarounds in den Config-Dateien der Programme finden. Manchmal musste man sich nach der Analyse allerdings damit zufriedengeben, dass man zwar den Grund für die Probleme im Netz kannte, eine Lösung jedoch frühestens mit der nächsten Version zu erwarten war.

Bei etablierten und ausgereiften Protokollen, zum Beispiel HTTP für das World Wide Web oder SMTP für E-Mail, kommen solche Inkompatibilitäten heute kaum noch vor. Anders sieht es mit neueren Protokollen wie SIP aus, das vor allem bei VoIP-Gesprächen zum Einsatz kommt. Insbesondere beim Überwinden von NAT-Grenzen ergeben sich Schwierigkeiten.

Oft sprechen neue Versionen eines Serverprogramms keine älteren Protokollversionen mehr, weil diese inzwischen als unsicher gelten und geknackt werden können. Bekanntestes Beispiel dafür ist das SMB/CIFS-Filesharing, das Windows als Standard-Netzwerkprotokoll verwendet. Moderne Domain Controller unter Windows Server 2008 kommunizieren nicht mit Rechnern unter Windows NT oder Windows 95 und 98, weil sie verlangen, dass sämtliche SMB-Kommunikation digital signiert sein muss. Andernfalls könnte der Rechner eines Angreifers vortäuschen, selbst Domain Controller zu sein, und auf diese Weise gefälschte Active-Directory-Daten einschleusen. Mit einem Netzwerkmonitor kann man den Grund solcher Probleme sofort sehen. Windows hingegen begnügt sich mit einer unspezifischen Fehlermeldung, dass der Server nicht gefunden wurde.

Der häufigste Grund, einen Netzwerkmonitor einzusetzen, sind Firewalls und andere Sicherheitsprogramme, die auch legitime Kommunikation unterbinden, wenn sie nicht richtig konfiguriert sind. Derartige Probleme lassen sich mit einem Sniffer in vielen Fällen erkennen und lösen. So verbieten die Enterprise-Versionen vieler Antiviren-Software per Default eine ausgehende Kommunikation an TCP-Port 25 einer öffentlichen IP-Adresse. Der eigene Mail-Server in der Firma wird vorausgesetzt. Das soll verhindern, dass die PCs in der Firma zu Spamversendern eines Botnetzes werden.

Ein mittelständisches Unternehmen, das seine Mailinfrastruktur an einen Hoster gegeben hat, muss die IP-Adresse des vom Hoster zugewiesenen SMTP-Server jedoch ausnehmen, was häufig vergessen wird. Solche Kommunikationsprobleme kann man mit einem Sniffer gut diagnostizieren.