Tarmoq yozuvlari

Paket yozuvi tarmoq trafigining yozib olingan nusxasi. Tarmoq xaritasi > Paket fayli sahifasida yoki telefonda Skan bo’limida .pcap, .pcapng yoki .cap faylini (512 MB gacha) yoxud CSV yoki JSON oqim eksportini yuklang. Yozuv ichidagi hech narsa ishga tushirilmaydi va ajratib olinmaydi.

Xulosa

Fayldagi so’zlarning o’zi: Xavfli, Shubhali, Xavfi past yoki Tahdid topilmadi. Yonida xulosa nimaga tayanishi bir gapda va har bir topilma to’liq yoziladi. Yozuvda hujum ko’rinsa, u xavfli: skan, lateral movement yoki ma’lum zararli manzil bilan aloqa. Faylning o’zini saqlash xavfsiz.

Nima qidiriladi

Kim kim bilan, qancha va qanchalik muntazam gaplashganidan:

• Port skani: bitta host bitta nishonning ko’p portlarini yoki bitta portni ko’p ichki hostlarda sinaydi.
• Lateral movement: bitta host boshqaruv portlari (SSH, SMB, RDP, WinRM, RPC) orqali bir nechta ichki hostga ulanadi.
• Muntazam murojaat: host bitta serverga bir xil oraliqda murojaat qiladi. Yangilovchilar va monitoring agentlari ham shunday qiladi, topilma buni aytadi. Broadcast va multicast (lokal tarmoqda qurilma qidirish) hisobga olinmaydi.
• Bitta manzilga katta hajmda yuborish va zararli dasturlar ko’p ishlatadigan portlardagi trafik.

Paketlar ichidan, yozuv o’qilayotganda sanaladi (tarkib saqlanmaydi):

• Mavjud bo’lmagan domenlar: turli nomlar uchun yuzlab “bunday domen yo’q” javoblari. Domen nomlarini o’zi yasaydigan zararli dastur (DGA) serverini shunday qidiradi. Teskari so’rovlar va lokal nomlar hisobga olinmaydi.
• Hisobotlar: bitta veb-serverga yuz va undan ortiq POST so’rovi. Sertifikat tekshiruvlari (OCSP) hisobga olinmaydi.
• Rad etilgan ulanishlar: internet serverlari qayta-qayta rad etadi.
• Nostandart portlarda ko’p peer: peer-to-peer botnetlar shunday qiladi. Torrent dasturlari ham, shuning uchun bu ko’pi bilan “shubhali”.
• Avtomatik yasalgan host nomlari: katta-kichik harflar aralash yozilgan ko’p host nomlariga veb so’rov. Brauzerlar hech qachon bunday yubormaydi.

Topilmalar ogohlantirishlar navbatiga tushadi; xulosaga hech narsa qo’shmaydigan eslatmalar tushmaydi.

O’lchangan

Oddiy trafikning 14 ta yozuvi (Stratosphere CTU-Normal: brauzer, chat, foydalanuvchining bir kuni, faqat DNS; 2,7 mln paket) va botnetlarning 28 ta yozuvi (Stratosphere CTU-Malware) bo’yicha, 2026-yil 8-noyabr: oddiy yozuvlarning birortasi bayroqlanmadi, botnet yozuvlarining 21 tasi bayroqlandi. Ushlanmagan 7 tasi trafigini HTTPS ichiga yashirgan yoki naqsh ko’rinishi uchun juda qisqa edi.

Cheklovlar

Yozuvning birinchi million paketi tahlil qilinadi, birinchi 250 000 tasi oqim sifatida saqlanadi; chegaraga yetilsa, natija buni aytadi. Shifrlangan trafik faqat shakli bo’yicha o’qiladi. Faqat tshark o’qiydigan formatdagi yozuvlarda (802.11 Wi-Fi) paket ichidagi aniqlovlar ishlamaydi, faqat trafik shakli bo’yicha aniqlovlar ishlaydi.