Γιατί υπάρχει αυτό το μάθημα

Το L21 σου έμαθε να πιάνεις πακέτα και να τα φιλτράρεις. Αυτό σου μαθαίνει να λες τι
συνέβη.

Είναι το μοναδικό μάθημα της διαδρομής που ασκεί συστηματικά την ερμηνεία πραγματικής
εξόδου, και το μοναδικό που διδάσκει την αμυντική ορατότητα — τι βλέπει ο αμυνόμενος, και
από ποια πηγή.

Τα όρια του L21 ισχύουν ακέραια και δεν επαναλαμβάνονται: καταγράφεις μόνο εκεί που
επιτρέπεται, το αρχείο είναι προσωπικά δεδομένα, και η ανάλυση γίνεται σε αντίγραφο.

Μαθησιακοί στόχοι

• Ακολουθεί μια ροή και ανασυνθέτει τι συνέβη, βήμα προς βήμα
• Αναγνωρίζει τα πρωτόκολλα μέσα σε καταγραφή και εξηγεί τι κάνει το καθένα εκεί
• Παράγει χρονογραμμή γεγονότων από καταγραφή
• Διατυπώνει τι θεωρεί ανώμαλο και γιατί, με ρητή αναφορά σε baseline
• Δηλώνει τι δεν μπορεί να συμπεράνει από κρυπτογραφημένη κίνηση

Μια καταγραφή δεν είναι κείμενο προς ανάγνωση. Είναι δεδομένα προς ανάκριση.

Η μέθοδος είναι πάντα η ίδια, και είναι το αντίθετο του «κοιτάζω μέχρι να δω κάτι»:

1. Συνολική εικόνα πρώτα — ποιοι μίλησαν, πόσο, με τι
2. Διάλεξε μία συνομιλία με βάση ερώτημα, όχι εντύπωση
3. Ακολούθησέ την ολόκληρη
4. Γράψε τι συνέβη σε προτάσεις
5. Επόμενο ερώτημα, που προέκυψε από το προηγούμενο

Το βήμα 4 δεν παραλείπεται. Αν δεν μπορείς να γράψεις τι συνέβη σε απλές προτάσεις, δεν το
κατάλαβες — και το τρίτο ερώτημα δεν θα βγει.

Δεν αναγνωρίζεις πρωτόκολλα από όνομα. Τα αναγνωρίζεις από τι κάνουν εκεί.

Η σειρά είναι η πληροφορία. Μια τυπική επίσκεψη ξεκινά με ερώτημα ονόματος, συνεχίζει με
άνοιγμα σύνδεσης, μετά διαπραγμάτευση, μετά κρυπτογραφημένα δεδομένα. Αν λείπει βήμα ή έρθει
με λάθος σειρά, αυτό είναι το ερώτημα.

Παράδειγμα του τι σημαίνει αυτό πρακτικά: σύνδεση προς διεύθυνση χωρίς προηγούμενο ερώτημα
ονόματος σημαίνει ότι κάτι ήξερε ήδη τη διεύθυνση. Δεν είναι κακό από μόνο του — είναι
ερώτημα άξιο να απαντηθεί.

Ο στόχος 3, και το παραδοτέο του μαθήματος.

Μια χρονογραμμή δεν είναι λίστα πακέτων. Είναι λίστα γεγονότων, με σταθερά πεδία:

Οι δύο στήλες που κάνουν τη διαφορά είναι οι ίδιες με το L07 §7: παρατήρηση χωριστά από
ερμηνεία. Και η βεβαιότητα, όπως στο L15 §10.

Πραγματική χρονογραμμή, από καταγραφή εργαστηρίου

Μία επίσκεψη σε ιστοσελίδα, όπως φαίνεται πράγματι στο καλώδιο:

#1   0.0000s  ARP   Who has 198.51.100.20? Tell 198.51.100.10
#2   0.0000s  ARP   198.51.100.20 is at 72:c0:db:22:e2:11
#3   0.0000s  TCP   42858 → 80 [SYN]
#4   0.0000s  TCP   80 → 42858 [SYN, ACK]
#5   0.0000s  TCP   42858 → 80 [ACK]
#6   0.0001s  HTTP  GET / HTTP/1.1
#8   0.0002s  HTTP  HTTP/1.1 200 OK  (text/html)
#10  0.0003s  TCP   42858 → 80 [FIN, ACK]

Η σειρά είναι η πληροφορία. Πρώτα η ερώτηση υλικού (L08 §3), μετά τα τρία πακέτα
εκκίνησης (L08 §5), μετά τα δεδομένα, μετά ο τερματισμός. Ολόκληρη η επίσκεψη διήρκεσε
τριακόσια μικροδευτερόλεπτα.

Αν λείπει βήμα ή έρθει με άλλη σειρά — αυτό είναι το ερώτημα.

Η μορφή της αποτυχίας, από το καλώδιο

Στην ίδια καταγραφή, μια προσπάθεια σύνδεσης σε θύρα όπου δεν ακούει τίποτα:

9999 → 33386 [RST, ACK] Seq=1 Ack=1 Win=0 Len=0

Το RST είναι ενεργή άρνηση. Είναι ακριβώς ο λόγος conn-refused που το L13 §3 σου
έδειξε ως «κλειστή» — τώρα από την άλλη πλευρά, ως πακέτο.

Και η αντίστοιχη «φιλτραρισμένη» δεν έχει πακέτο να δεις. Δεν υπάρχει γραμμή στην
καταγραφή, γιατί δεν ήρθε τίποτα. Η σιωπή δεν αφήνει ίχνος — γι’ αυτό είναι δήλωση άγνοιας.

Τα ρολόγια

Οι χρονοσημάνσεις προέρχονται από το μηχάνημα που κατέγραψε. Αυτό έχει τρεις συνέπειες που
οι αρχάριοι δεν σκέφτονται:

• Οι σχετικές αποστάσεις μέσα στην ίδια καταγραφή είναι αξιόπιστες
• Η απόλυτη ώρα είναι τόσο σωστή όσο το ρολόι εκείνου του μηχανήματος
• Η συσχέτιση με αρχεία καταγραφής άλλου συστήματος απαιτεί να ξέρεις και τα δύο ρολόγια

Αν δεν ξέρεις τη διαφορά των ρολογιών, δεν συσχετίζεις — ή το δηλώνεις ρητά ως αβέβαιο.
Χρονογραμμή που ενώνει δύο πηγές με ασύγχρονα ρολόγια παράγει αιτιότητα που δεν υπήρξε, και
είναι από τα χειρότερα λάθη που μπορεί να μπουν σε αναφορά.

Η βαρύτερη ενότητα του μαθήματος.

Η υπερδήλωση στην κρυπτογράφηση

Ο στόχος 5, και το συχνότερο ψευδώς θετικό αυτού του μαθήματος.

Μπορείς να πεις: ότι υπήρξε επικοινωνία, με ποιον, πότε, για πόσο, με τι όγκο και ρυθμό,
ποιο όνομα ζητήθηκε στην εκκίνηση, και τι αλγορίθμους διαπραγματεύτηκαν.

Δεν μπορείς να πεις: τι ειπώθηκε, τι μεταφέρθηκε, ή ότι «εξήχθησαν δεδομένα».

Ο όγκος δεν αποδεικνύει εξαγωγή. Μια μεγάλη εξερχόμενη ροή είναι εξίσου συμβατή με
αντίγραφο ασφαλείας, ενημέρωση, συγχρονισμό ή τηλεδιάσκεψη.

Ο στόχος 4, και υποχρεωτική ενότητα.

Το συνηθέστερο λάθος του αρχάριου δεν είναι ότι χάνει κάτι. Είναι ότι χαρακτηρίζει κακόβουλο
ό,τι δεν αναγνωρίζει.

Καθένα από αυτά μπορεί επίσης να είναι πρόβλημα. Το θέμα είναι ότι δεν μπορείς να το πεις
χωρίς baseline.

Τι κάνεις όταν δεν έχεις baseline

Σε ανάθεση σε δίκτυο που βλέπεις πρώτη φορά, δεν έχεις. Η τίμια διατύπωση είναι:

Αυτό είναι επαγγελματικό εύρημα. Το «εντόπισα ύποπτη κίνηση» χωρίς baseline δεν είναι — και
θα καταρρεύσει μόλις ο διαχειριστής πει «ναι, δικό μας είναι».

Το ερώτημα προς τον πελάτη είναι μέρος της μεθόδου, όχι παραδοχή αδυναμίας. Ο πελάτης ξέρει
το δίκτυό του· εσύ ξέρεις τι φαίνεται στο καλώδιο.

Η καταγραφή αρχειοθετήθηκε στο L21 §6. Το ίδιο ισχύει για ό,τι παράγεις από αυτήν:

Ο έλεγχος αναπαραγωγιμότητας: μπορεί κάποιος με το ίδιο αρχείο και τα φίλτρα σου να φτάσει
στην ίδια χρονογραμμή; Αν όχι, λείπει κάτι από την τεκμηρίωσή σου (L07 §1).

Γραμμένο από την πλευρά της άμυνας. Η αντίστροφη ανάγνωση —«άρα απόφυγε αυτό το μοτίβο»—
δεν είναι το αντικείμενο και δεν διδάσκεται εδώ ούτε αργότερα σε αυτό το επίπεδο.

Το σημαντικότερο που πρέπει να καταλάβεις: τα πακέτα είναι μία πηγή, και συνήθως όχι αυτή που
υπάρχει.

Η συνέπεια για σένα: σε πραγματικό περιστατικό, η πλήρης καταγραφή σπάνια καλύπτει τη
στιγμή που σε ενδιαφέρει. Η ανάλυση γίνεται από συνδυασμό πηγών — και εκεί επιστρέφει το
ζήτημα των ρολογιών της §3.

Τι αλλάζει ο αμυνόμενος με βάση τέτοια ανάλυση: καταγραφή εκεί που έλειπε, συγχρονισμός
ρολογιών, διατήρηση αρχείων για επαρκές διάστημα, και τεκμηρίωση του κανονικού ώστε το
«ανώμαλο» της §5 να έχει νόημα.

Μέρος Α — συνολική εικόνα. Ποιοι μίλησαν με ποιους, ποια πρωτόκολλα, σε τι αναλογία. Γράψε
τρεις προτάσεις πριν ανοίξεις οποιαδήποτε ροή.

Μέρος Β — τρεις ροές. Διάλεξε τρεις. Για καθεμία, ανασύνθεσε τι συνέβη σε προτάσεις (§1).

Μέρος Γ — χρονογραμμή. Παρήγαγε τον πίνακα της §3 για ό,τι κατάλαβες. Καμία σειρά χωρίς
αριθμό πακέτου.

Μέρος Δ — τα όρια. Για κάθε γραμμή της χρονογραμμής, γράψε τι δεν διαπιστώνεται (§4).

Μέρος Ε — baseline. Διάλεξε ένα μοτίβο. Γράψε τι θα χρειαζόσουν για να πεις αν είναι
ανώμαλο, και τη διατύπωση που θα χρησιμοποιούσες αν δεν το είχες (§5).

Μέρος ΣΤ — αντιπαραβολή. Σύγκρινε τη χρονογραμμή με αυτό που πράγματι έκανες στο L21.
Τι έχασες; Τι ερμήνευσες λάθος;

Βαθμολόγηση

≈4 από 40, όλα ερμηνείας: «δεδομένης αυτής της ακολουθίας, τι έχει διαπιστωθεί και τι
όχι;», τι μπορεί να ειπωθεί για κρυπτογραφημένη ροή, και ένα που δίνει μοτίβο και ζητά
γραπτή διατύπωση χωρίς διαθέσιμο baseline.