NetworkMiner — программный инструмент для сетевой криминалистики и анализа сетевого трафика, разработанный для извлечения артефактов из захваченных пакетов. Он работает с файлами захвата сети формата PCAP и позволяет реконструировать сессии, извлекать файлы, изображения, электронные письма, учётные данные и другую полезную информацию, возникающую при передаче данных по сети. Приложение ориентировано на проведение ретроспективного анализа инцидентов, восстановление содержимого сетевых соединений и получение доказательной информации в рамках расследований безопасности.
Инструмент может функционировать в режиме офлайн при анализе ранее сохранённых дампов трафика, а также поддерживает прослушивание живого трафика через сетевой интерфейс для оперативного мониторинга. Интерфейс и подходы ориентированы на визуализацию и структурирование извлечённых артефактов, включая идентификацию хостов, извлечение файловых потоков и представление метаданных сессий. NetworkMiner обычно используется специалистами по информационной безопасности, цифровой криминалистике и исследователями инцидентов для получения доказательств и проведения последующего анализа.
- Анализ PCAP: импорт и обработка файлов захвата сетевого трафика для последующей реконструкции сессий и извлечения содержимого.
- Извлечение файлов: восстановление переданных по сети файлов и бинарных объектов из потоков протоколов.
- Реконструкция сессий: восстановление HTTP-, FTP-, SMTP- и прочих приложений уровня сессий для анализа переданных сообщений и объектов.
- Извлечение артефактов: поиск и сохранение изображений, вложений электронной почты, файлов и других данных, обнаруженных в трафике.
- Определение хостов и разговоров: агрегация данных по IP-адресам, хостнеймам и портам для построения карты взаимодействий в сети.
- Парсинг протоколов: поддержка анализа популярных сетевых протоколов для извлечения полезной информации из содержимого пакетов.
- Прослушивание живого трафика: возможность захвата и анализа трафика в реальном времени с сетевых интерфейсов для оперативного реагирования.
- Метаданные и отчётность: извлечение метаданных сессий, временных меток и параметров соединений для документирования расследований.
- Совместимость форматов: работа с распространёнными форматами дампов сети и возможность интеграции в конвейеры анализа.
- Пользовательский интерфейс: средства визуализации и навигации по извлечённым артефактам для облегчения ручного анализа.