Wireshark come scanner di rete [chiuso]

Il processo di cui stai parlando è una forma di scansione passiva. Francamente, non hai nemmeno bisogno che Wireshark faccia esattamente quello che vuoi e senza un database: devi solo gestire i pcaps.

Ci sono tonnellate di strumenti che possono interrogare i pcap per i dati, Wireshark è solo uno di questi.

Se si desidera utilizzare Wireshark, nella sezione "Analisi" e "Statistiche" di Wireshark, è disponibile un riepilogo degli host e anche delle porte utilizzate. Per quello che posso dire, è quello che stai cercando.

Esistono strumenti commerciali che lo fanno. Non ascoltano le macchine da soli, ma si fa uno specchio delle porte di rete e in pratica si riempie l'intero traffico di rete di alcuni tronchi nella scatola. Il riquadro esegue quindi analisi in tempo reale.

C'è un progetto open-source chiamato ntop-ng che può fare questo (ho usato questo su precedenti progetti di scoperta della rete).

Esiste un prodotto proprietario chiamato Extrahop che può fare ciò (divulgazione completa, siamo un cliente di loro).

Entrambi richiedono l'accesso amministrativo alla rete che si desidera ispezionare. Il punto di nmap (e prodotti simili come nexpose ) consiste nell'eseguire la scansione attiva.

Se sei una persona ostile, e hai l'accesso per impostare qualcosa come ntop-ng o extrahop, allora hai già abbastanza potere per ottenere comunque quello che vuoi comunque.

L'idea di nmap è di scoprire queste informazioni esternamente . Potrebbero entrambi ottenere cose simili, ma lo fanno in modi opposti.

E poi hai un ID come snort che fondamentalmente guarda la tua rete per questi pattern che hai notato in Wireshark e ti avvisa quando li vede.