آموزش Network Forensics و تحلیل PCAP
مدرس: امیرمحمد ایرجی مقدم
در دوره Network Forensics هانت‌لرن، تحلیل ترافیک را از سطح مشاهده بسته‌ها به تحقیق فنی درباره رخداد امنیتی می‌بریم. مسئله اصلی این است که از یک PCAP، لاگ DNS یا هشدار IDS بتوان مشخص کرد کدام میزبان در چه زمانی با چه مقصدی ارتباط داشته، چه پروتکلی استفاده شده و کدام یافته واقعاً از داده موجود قابل اثبات است. مدرس این دوره امیرمحمد ایرجی مقدم است و مسیر آموزش بر تحلیل پروتکل و همبستگی شواهد شبکه بنا شده است.
ابتدا معماری جمع‌آوری ترافیک، تفاوت TAP و SPAN، محدودیت Snaplen، افت بسته، Timestamp و Capture Filter را بررسی می‌کنیم. سپس با Wireshark و TShark سراغ بازسازی TCP Stream، تحلیل Retransmission و Out-of-Order، استخراج اشیای HTTP و بررسی DNS، SMB و TLS می‌رویم. خروجی Zeek و Suricata برای اتصال شواهد سطح بسته به نشست‌ها، هشدارها و فایل‌های مشاهده‌شده استفاده می‌شود.
در بخش تحقیق، الگوهایی مانند Beaconing، درخواست‌های DNS غیرمعمول، دانلود فایل، ارتباطات مدیریتی و انتقال حجیم داده را در زمینه زمانی و رفتاری میزبان بررسی می‌کنیم. شناسایی یک الگو به‌تنهایی اثبات نفوذ نیست؛ بنابراین هر فرضیه با شواهد مکمل، نقش NAT و Proxy و محدودیت دید در ترافیک رمزگذاری‌شده ارزیابی می‌شود. نتیجه این فرایند، پرونده‌ای قابل بازبینی شامل خط زمانی، فهرست میزبان‌ها، شاخص‌های مرتبط و دلایل فنی هر نتیجه است.
مهارت‌هایی که در این دوره دنبال می‌کنید
- طراحی جمع‌آوری PCAP با حفظ تمامیت و کیفیت شواهد
- بازسازی نشست‌ها و تشخیص اختلال انتقال از رفتار امنیتی
- تحلیل DNS، HTTP، TLS و SMB در بستر یک رخداد
- همبستگی conn.log، dns.log و هشدارهای IDS
- تدوین فرضیه C2 و انتقال داده با بیان سطح اطمینان
- ساخت Timeline و گزارش فنی قابل ارجاع به بسته و لاگ
پیش‌نیازهای فنی
- تسلط به TCP/IP، Subnetting، DNS و مدل کلاینت/سرور
- توانایی کار مقدماتی با Wireshark و فیلترهای پروتکل
- آشنایی با خط فرمان لینوکس و مفهوم Incident Response
- توانایی خواندن لاگ و کار با فایل‌های متنی و CSV
ابزارها و منابع فنی مسیر آموزش
- Wireshark و TShark
- tcpdump و ابزارهای capinfos، editcap، mergecap
- Zeek و لاگ‌های ارتباط، DNS، HTTP، TLS و فایل
- Suricata و ساختار رویداد EVE JSON
برنامه آموزشی و سرفصل‌های تخصصی
1. طراحی جمع‌آوری شواهد؛ TAP، SPAN و PCAPNG
- انتخاب محل حسگر و اثر دید یک‌طرفه شبکه
- Capture Filter در برابر Display Filter
- بررسی Snaplen، Packet Loss و Ring Buffer
- ثبت Hash، زمان و زنجیره نگهداری فایل Capture
2. تحلیل TCP/IP و بازسازی نشست با Wireshark
- Handshake، Sequence Number و TCP Flags
- تشخیص Retransmission، Dup ACK و Out-of-Order
- Follow Stream و اعتبارسنجی Reassembly
- مقایسه Endpoints، Conversations و I/O Graph
3. جست‌وجوی ساختاریافته با TShark و tcpdump
- فیلترهای BPF برای جمع‌آوری هدفمند
- انتخاب فیلدهای پروتکل و خروجی CSV/JSON
- استخراج جریان‌های مرتبط با میزبان و بازه زمانی
- برش و ادغام Captureها با حفظ ترتیب زمانی
4. جرم‌یابی DNS و شواهد ارتباطات نام‌محور
- ساختار Query، Response و انواع Record
- تحلیل NXDOMAIN، TTL و توالی پرس‌وجوها
- بررسی نام‌های پرآنتروپی و الگوهای احتمالی Tunnel
- همبستگی Resolver، Client و مقصد نهایی ارتباط
5. تحلیل HTTP، Proxy و انتقال فایل
- بررسی Method، URI، Host و User-Agent
- بازسازی درخواست و پاسخ در یک نشست
- استخراج Object و محاسبه Hash فایل بازیابی‌شده
- اتصال لاگ Proxy و کد وضعیت به شواهد PCAP
6. تحلیل TLS و محدودیت دید در ترافیک رمزگذاری‌شده
- بررسی Handshake، Certificate و اطلاعات قابل مشاهده
- شناخت SNI، ALPN و محدودیت ناشی از ECH
- تحلیل زمان‌بندی و اندازه جریان بدون مشاهده محتوا
- شرایط استفاده از Session Key در آزمایشگاه
7. SMB، Kerberos و ارتباطات مدیریتی در شبکه داخلی
- شناسایی نشست‌های SMB و عملیات اشتراک فایل
- بررسی فراداده ارتباطات RDP و WinRM
- مشاهده تبادل Kerberos و وابستگی زمانی آن
- مقایسه الگوی مدیریت مجاز و حرکت جانبی مشکوک
8. تبدیل PCAP به شواهد ساختاریافته با Zeek
- فیلدهای conn.log و مفهوم UID و Community ID
- پیوند dns.log، http.log، ssl.log و files.log
- تحلیل orig_bytes، resp_bytes و Connection State
- Pivot میان میزبان، دامنه، فایل و نشست
9. بررسی هشدار IDS با Suricata و EVE JSON
- خواندن Signature، Flow، Alert و Metadata
- همبستگی Flow ID و نشست شبکه
- اعتبارسنجی هشدار با محتوای بسته و جهت ارتباط
- تشخیص False Positive ناشی از زمینه ترافیک
10. تحلیل Beaconing، C2 و انتقال غیرعادی داده
- بررسی تناوب ارتباط و تغییرات Jitter
- مقایسه مقصد نادر با Baseline میزبان
- تحلیل نسبت ارسال/دریافت و طول نشست
- ارزیابی فرضیه Exfiltration با شواهد مکمل
11. همبستگی چندمنبعی و ساخت Network Timeline
- یکسان‌سازی Timezone و اصلاح Clock Skew
- اتصال DHCP، NAT، VPN و Proxy به هویت میزبان
- ترکیب شواهد شبکه و رویداد Endpoint
- ثبت شکاف دید و سطح اطمینان هر نتیجه
12. پرونده نهایی؛ از PCAP تا گزارش رخداد
- تعیین میزبان آغازگر و دامنه بررسی
- بازسازی مسیر دانلود، اجرا و ارتباط شبکه‌ای
- تهیه Evidence Table با ارجاع به Frame و Log
- ارائه Timeline، IOC و پیشنهاد جمع‌آوری تکمیلی
سناریوی تمرین و خروجی فنی
یک پرونده شامل PCAP، لاگ DNS، Proxy و چند رویداد میزبان بررسی می‌شود. خروجی مورد انتظار شامل نقشه ارتباطات، توالی رخداد، فهرست فایل‌ها و دامنه‌های مرتبط و گزارش اثبات یا رد فرضیه C2 و انتقال داده است؛ هر یافته باید به Frame، Stream یا رکورد لاگ مشخص ارجاع دهد.
شیوه ارائه و برنامه‌ریزی یادگیری
شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.