HTML 형태의 패킷 분석 보고서는 어떤가요?

지금까지 소개한 패킷분석 프로그램은 대부분 텍스트 형태였다. 만약 HTML 형태로 나오면 어떨까?

분석대상에 따라서 달라지겠지만, 때로는 간단하게 텍스트 형태가 편할 수도 있고, 데이터 내용이 많으면

좀더 쉽게 정리되어 볼 수 있는 HTML 형태가 편할수도 있을 것이다. 이것은 분석가의 판단에 따라서

상황에 맞는 것을 선택하면 된다.

일단, 지금 소개하고자 하는 것은 'pcapline' 이라는 것으로 패킷을 분석해 HTML 형태로 만들어주며

세션별로도 구분해준다. pcapline 은 파이썬으로 작성되어 있으며, 다음 경로에서 받을 수 있다.

http://www.mcgrewsecurity.com/codedump/pcapline.py

실행은 분석할 PCAP 파일을 지정해 주는 것으로 끝난다.

# ./pcapline.py test.pcap

[*] Pcapline v0.9

[*] Processing pcap

[*] Generating report

분석이 완료되고 리포트가 생성되면 해당 폴더(실행한 파일이름의 output )에 아래와 같이 서브디렉토리가 존재하고 index.html 이 있다.

# ls -l

total 120

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0001

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0002

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0003

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0004

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0005

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0006

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0007

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0008

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0009

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0010

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0011

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0012

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0013

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0014

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0015

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0016

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0017

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0018

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0019

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0020

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0021

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0022

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0023

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0024

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0025

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0026

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0027

drwxr-xr-x 2 rigel rigel 4096 2010-07-28 23:37 0028

-rw-r--r-- 1 rigel rigel 8010 2010-07-28 23:37 index.html

index.html 을 브라우저에서 읽어들이면 아래와 같은 분석 보고서를 볼 수 있다. 호스트별로 구분되어 있고, 전송된 데이타량 그리고 해당 패킷이 어떤것인지 나타난다. 여기서 이제 각 Flow 를 선택하게 되면 세부적인 정보를 더 볼 수 있게 된다. (참고로, 여기서 사용된 것은 랜덤하게 IP 를 변경한 것이다)

세부 정보를 선택했더니, 더 자세한 내용들이 나타난다. 스트링 데이터도 볼 수 있고, HEX 값도 볼 수 있다.

각 요약 정보는 굳이 설명하지 않더라도 어떤 내용인지 쉽게 이해가 될 것이다.

HTML 형태의 보고서로 만들어 주므로 웹 브라우저 등이 있어야 하는 불편함은 있지만, 어떤 면에서는 더욱 쉽게 내용을 확인할 수 있는 방법을 제공해 준다. 파이썬이 설치되어 있다면 한번 사용해 보는 것도 괜챦다.

혹시 프로그램이 제대로 실행되지 않는다면, 설치된 파이썬 버전은 어떻게 되는지 확인해 보자. 파이썬 2.5 버전을 사용하는 경우에는 실행시 오류가 발생된다. 최신 버전인 2.7 을 사용하면 문제 없을 것이다. (2.6 도 OK)