exercise1.tex

   1 % tunet und eduroam down...
   2
   3 \section{Rep:1.a}
   4 Own IP: 192.168.67.37
   5
   6 \section{Rep:1.b}
   7 192.168.67.83
   8
   9 \section{Rep:1.c}
  10 ip.addr == 192.168.67.83
  11
  12 \section{Rep:1.d}
  13 Unusable features:
  14 No. -> generated while monitoring
  15 fixed values:
  16 Source IP (192.168.67.83), Destination IP (192.168.67.37), Protocol (UDP), Length (82), TTL (64), Dest port (118), Flags (empty), Frag offset (0)
  17
  18
  19 \section{Rep:1.e}
  20
  21
  22 repeating transfers, transfers seem separable over time via the udp.srcport attribute
  23
  24 filtered traffic via wireshark again by source port 51899
  25
  26 reexported to csv
  27
  28 reimported to rapidminer
  29
  30 \section{Rep:1.f}
  31 dscp + timing changes.
  32
  33 the DSCP value grows until 10962
  34 grows until time 6.55
  35 then it's fixed on DSCP 10962
  36
  37 \section{Rep:1.g}
  38 Dest port == 118
  39
  40 \section{Rep:1.h}
  41 siehe bladecode.py
  42
  43 \section{Rep:1.i}
  44 some bits are broken, as the timing and my decodes is more a hack.
  45
  46 a hack is a hack is a hack ... :)
  47
  48
  49
  50 \section{Rep:1.j}
  51 rescan... new ip: 192.168.67.26
  52 10min.{pcap,csv}
  53
  54 filtered localnet
  55 ip.src == 192.168.67.0/24 and ip.dst == 192.168.67.0/24
  56
  57 10min\_localnet.{pcap,csv}
  58
  59 look at it via rapidminer (filter away gateway (.1) and self (.26) as sources)
  60 image:stream\_localnet.pdf
  61
  62 image:stream\_localnet\_ports.pdf
  63 dest ports are always first 80/udp, then 443/udp, then 465/tcp, then 464/udp
  64 always from first .83, then .82, then .81, then .84
  65
  66
  67 %%%%%%%%%%%%%%%%%%%%%
  68
  69 %filtered away nfs and ssh
  70 %!(tcp.port == 666 || tcp.port == 2049)
  71 %asdf.{pcap,csv}
  72
  73 %look at it via rapidminer
  74 %image:stream2.pdf
  75
  76 %((ip.addr eq 192.168.67.81 or ip.addr eq 192.168.67.82 or ip.addr eq 192.168.67.83) and ip.addr eq 192.168.67.37)
  77 %better.{pcap,csv}
  78
  79 %look at it again via rapidminer
  80 %image:stream\_better.pdf
  81
  82 %dest ports are always first 80/udp, then 443/udp, then 465/tcp
  83
  84 %filtered for one complete transaction
  85 %tcp.port == 56533 or udp.port == 50293 or udp.port == 56040
  86 %cool.{pcap,csv}
  87
  88 %look at it again via rapidminer
  89 %image:stream\_cool.pdf
  90
  91 %%%%%%%%%%%%%%%%%%%%%%%
  92
  93 \section{Rep:1.k}
  94 Unusable features:
  95 No. -> generated while monitoring
  96 fixed values:
  97 TTL (64), Frag offset (0)
  98
  99 Time:
 100 does not look like timing, packets arrive in almost equal distances (10ms sequence)
 101
 102 Flags:
 103 0x0002: SYN (1x)
 104 0x0012: SYN,ACK (1x)
 105 0x0010: ACK (602x)
 106 0x0018: ACK,PSH (600x)
 107 0x0011: ACK,FIN (2x)
 108
 109 Expected distribution of values
 110
 111 \section{Rep:1.l}
 112 not a high variance detected:
 113 \begin{itemize}
 114 \item UDP Stream from 192.168.67.83:56040 to 192.168.67.37:80 %TODO fix
 115 \item UDP Stream from 192.168.67.82:50293 to 192.168.67.37:443 %TODO fix
 116 \item TCP Traffic between 192.168.67.81:56533 to 192.168.67.37:465 %TODO fix
 117 \imte UDP Stream from 192.168.67.84:36842 to 192.168.67.26:464
 118 \end{itemize}
 119
 120 Length also does not vary very much:
 121 \begin{itemize}
 122 \item Length 60 for Source Port 56040/udp
 123 \item Length 60 for Source Port 52093/udp
 124 \item Length 70 for ACK,PSH (600x), 74 for SYN (1x), 66 for ACK (1x) and 66 for FIN (1x) for Source Port 56533/tcp
 125 \item Length 66 for ACK, 74 for SYN,ACK for Source Port 465/tcp
 126 \item %TODO fix for sport 464
 127 \end{itemize}
 128
 129 %TODO DSCP is weird
 130
 131 \section{Rep:1.m}
 132 Unknown, because we do have two shorter transmissions before a longer transmission from different source ips
 133
 134 \section{Rep:1.n}
 135 Not yet. We do not know if the three transmissions are connected to each other
 136
 137 Most likely it is in the DSCP field of the third transmission. (This also has responses from the local system)
 138
 139 \section{Rep:1.o}
 140
 141
 142
 143
 144
 145
 146
 147
 148
 149
 150
 151
 152
 153
 154