Kevésbé feltűnő, mint az Nmap: ShadowProbe

A ShadowProbe kevésbé feltűnő működéséhez két fő összetevő járul hozzá:

• TCP-szinten nehezebben felismerhető csomagok.
• Szigorú hálózatiforgalom-ütemezés az észlelés elkerülésére.

Az Nmap például 8 KB-os TCP-ablakokat használ, ami szokatlan a TCP-kommunikációban. A Python socket modulja ezzel szemben 65 KB-ot használ.

Ütemező

Ha olvasta a LegolAD-ról szóló cikket, a ShadowProbe hasonló, de még több funkciót kínál.

Normál módban indulva a ShadowProbe minden portkapcsolatot másodpercre pontosan ütemez, akár hetekkel előre is, ha a célrendszer mérete ezt indokolja. Beállítható, hány portot vizsgáljon, milyen gyakran, mely napokon, és mikor tartson szünetet.

Alapértelmezésben a normál mód nem végez portszkennelést és nem generál hálózati forgalmat. Ehelyett megtervezi a portkapcsolatokat, amelyeket a --graph kapcsolóval grafikonon is megjeleníthetünk.

Ha az ütemezés megfelelő, ugyanazt a parancsot a --campaign kapcsolóval futtatva elindítható a tényleges portszkennelés.

Dátumok

A kampány meghatározott időszakra állítható be. A --start-date és --end-date paraméterekből a ShadowProbe tudja, mikorra ütemezze a portkapcsolatokat. Ezek kötelező paraméterek.

--start-date 2025.03.01 --end-date 2025.05.31

A tesztelés során egy munkaszüneti nap is beleesett az időszakba, ezért létrehoztam a --holidays paramétert bizonyos napok kizárására.

--holidays 2025.03.15 2025.05.01

Napok

A --days kapcsolóval megadható, mely hétköznapokon működjön a ShadowProbe. A megszokott munkatársi forgalomba való illeszkedéshez a hétvégék kihagyását javaslom. Az alábbi beállítás minden hétköznapra engedélyezi a működést:

--days m tu w th f

Szombatra (sa) vagy vasárnapra (su) is lehet ütemezni.

Szünetek

A --break paraméter többször is megadható, hogy a nap bizonyos időszakaiban a ShadowProbe ne ütemezzen portkapcsolatokat. Az is megadható, hogy ezekben az időszakokban a normál csomagszám hány százalékát küldje el.

Vegyünk például egy munkatársat, aki 8

kezd, 12 ebédszünetet tart — bekapcsolva hagyva a gépét —, és 17 végez. A beállítás így nézne ki:

--break 00:00 08:00 0
--break 12:30 13:30 10
--break 17:00 24:00 0

A harmadik argumentum a „normálisan ütemezett csomagok százalékát” jelenti. Reggel 8 előtt és délután 5 után egyáltalán nem küld csomagot. Ebédszünetben, amikor a munkaállomások bekapcsolva maradnak, valamennyi forgalom megengedett: itt 10%.

Tárhely

További információ az eszköz tárhelyén:

https://github.com/NaunetEU/shadowprobe