Distribuované zpracování síťového provozu pro forenzní analýzu

Network Forensics Distrubuted Platform

Software

Informace, které vzniknou zpracováním zachycené síťové komunikace se používají pro analýzu. Soubory, které obsahují tyto data můžou být obrovské a množství ukládáných dat roste s velikostí souboru. Paměť RAM přitom nemusí být dostatečná na počítači, kde zpracování probíhá. A Uzavřením aplikace se znemožňuje opětovná analýza bez znovu zpracování. Využitím databáze se nemusí držet přílíš mnoho dat v paměti, ale  postupně načítat záznamy po stránkách. Uložená data v databázi představují již zpracované informace, ze kterých lze rekonstruovat celý provoz. Záznamy se nahrávají po blocích. Pro každý typ záznamu je dynamicky vytvořena procedura, která má deklaruje parametr typ tabulky. V aplikaci se při nahrávání volají procedury, kde jako parametr se zadá tabulka daného typu dat.
Distribuovaná aplikace umožňuje rozparsovat odchycený přenos na  distribuovaném systému. Uživatel přepošle bloky syrových rámců na cluster, kde proběhne veškerý výpočet. Komponenty aplikace se skladají z WCF  služeb dvojího typu. Jeden typ služby distribuuje rámce přeposlané od klienta na druhý typ služby, který je zpracovává a nahrává do databáze.

Processing captured network communication creates information that is used for analysing traffic. Network traffic can result into a large capture files. Magnitude of processed data grows with the size of file. But user's memory does not have to have enough memory to process it. And when the client's application closes, all data is lost so the file has to be parsed again. Here comes the database, because it stores already parsed data. Database does not strain the RAM Memory when data are pulled by pages. Records are loaded by blocks. Application loads records by dynamically created stored procedures. Every stored procedure declares a parameter that defines type of table. When application tries to load the data, it calls the stored procedure with specified parameter. Distributed solution enables to parse the capture file on distributed system. User forwards raw frames on a cluster. Application consist of WCF services. There are two kind of services. First type of service sends frames onto a second type of services. The other kind of service is parsing the frames and loads processed data into a database.

C#, SQL, MS SQL, WCF, TCP, Cluster, Microsoft HPC Pack, HPC, Distributed Computing

C#, SQL, MS SQL, WCF, TCP, Cluster, Microsoft HPC Pack, HPC, Distributed Computing

Software je umístěn ve podobě zdrojových kódů v repositáři projektu. V  podobě binární aplikace je software dostupný pro instalaci ze zabezpečených stránek.

K využití výsledku jiným subjektem je vždy nutné nabytí licence

https://www.fit.vut.cz/research/product/491/

README