Muchas veces, cuando toca analizar tráfico de red, uno se puede sentir profundamente abrumado por tal cantidad de trazas, esto suele verse acentuado cuando se trata de logs especialmente grandes donde intervienen múltiples IPs.
En esos casos, viene bien hacer un primer análisis de esas IPs buscando información del proveedor y su procedencia geográfica.
En el post de hoy vamos a ver una primera aproximación al análisis de este tipo de datos empleando un script en Perl para parsear un fichero en formato pcap, y obtener los siguientes datos:
- Hostname de la IP
- País
- Ciudad
El script es este:
Haremos uso de la base de datos de Max Mind 'Geo Lite' que tan buen servicio nos presta siempre y que además tiene una versión gratuita plenamente funcional.
Una vez descargada la bd 'GeoLiteCity.dat', que es la que contiene más información, simplemente tenemos que ejecutar el script contra un fichero pcap (muestra descargada de un repositorio público de ficheros pcap)
$ perl geopcap.pl anon_sid_12719_2003581.pcap
210.233.108.255,,JP,
210.85.29.241,210-85-29-241.cm.dynamic.apol.com.tw,TW,Taipei
210.233.108.255,,JP,
210.233.108.255,,JP,
210.85.29.241,210-85-29-241.cm.dynamic.apol.com.tw,TW,Taipei
210.233.108.255,,JP,
210.85.29.241,210-85-29-241.cm.dynamic.apol.com.tw,TW,Taipei
210.85.29.241,210-85-29-241.cm.dynamic.apol.com.tw,TW,Taipei
210.233.108.255,,JP,
Como podemos ver, el script devuelve la información en formato CSV, útil si se desea importar en ficheros excel para realizar un análisis más directo.
El script intenta resolver todas las IPs, averiguar su código de país y la ciudad.
