exercise1.tex

   1 % tunet und eduroam down...
   2
   3 \section{Rep:1.a}
   4 Own IP: 192.168.67.37
   5
   6 \section{Rep:1.b}
   7 192.168.67.83
   8
   9 \section{Rep:1.c}
  10 ip.addr == 192.168.67.83
  11
  12 \section{Rep:1.d}
  13 Unusable features:
  14 No. -> generated while monitoring
  15 fixed values:
  16 Source IP (192.168.67.83), Destination IP (192.168.67.37), Protocol (UDP), Length (82), TTL (64), Dest port (118), Flags (empty), Frag offset (0)
  17
  18
  19 \section{Rep:1.e}
  20
  21
  22 repeating transfers, transfers seem separable over time via the udp.srcport attribute
  23
  24 filtered traffic via wireshark again by source port 51899
  25
  26 reexported to csv
  27
  28 reimported to rapidminer
  29
  30 \section{Rep:1.f}
  31 dscp + timing changes.
  32
  33 the DSCP value grows until 10962
  34 grows until time 6.55
  35 then it's fixed on DSCP 10962
  36
  37 \section{Rep:1.g}
  38 Dest port == 118
  39
  40 \section{Rep:1.h}
  41 siehe bladecode.py
  42
  43 \section{Rep:1.i}
  44 some bits are broken, as the timing and my decodes is more a hack.
  45
  46 a hack is a hack is a hack ... :)
  47
  48
  49
  50 \section{Rep:1.j}
  51 rescan... new ip: 192.168.67.26
  52 10min.{pcap,csv}
  53
  54 filtered localnet
  55 ip.src == 192.168.67.0/24 and ip.dst == 192.168.67.0/24
  56
  57 10min\_localnet.{pcap,csv}
  58
  59 look at it via rapidminer (filter away gateway (.1) and self (.26) as sources)
  60 image:stream\_localnet.pdf
  61
  62 image:stream\_localnet\_ports.pdf
  63 dest ports are always first 80/udp, then 443/udp, then 465/tcp, then 464/udp
  64 always from first .83, then .82, then .81, then .84
  65
  66 filtered for one complete transaction
  67 udp.port == 58493 or udp.port == 45875 or tcp.port == 40875 or udp.port == 36842
  68 10min\_transaction.{pcap,csv}
  69
  70 %%%%%%%%%%%%%%%%%%%%%
  71
  72 %filtered away nfs and ssh
  73 %!(tcp.port == 666 || tcp.port == 2049)
  74 %asdf.{pcap,csv}
  75
  76 %look at it via rapidminer
  77 %image:stream2.pdf
  78
  79 %((ip.addr eq 192.168.67.81 or ip.addr eq 192.168.67.82 or ip.addr eq 192.168.67.83) and ip.addr eq 192.168.67.37)
  80 %better.{pcap,csv}
  81
  82 %look at it again via rapidminer
  83 %image:stream\_better.pdf
  84
  85 %dest ports are always first 80/udp, then 443/udp, then 465/tcp
  86
  87 %filtered for one complete transaction
  88 %tcp.port == 56533 or udp.port == 50293 or udp.port == 56040
  89 %cool.{pcap,csv}
  90
  91 %look at it again via rapidminer
  92 %image:stream\_cool.pdf
  93
  94 %%%%%%%%%%%%%%%%%%%%%%%
  95
  96 \section{Rep:1.k}
  97 Unusable features:
  98 No. -> generated while monitoring
  99 fixed values:
 100 TTL (64), Frag offset (0)
 101
 102 Time:
 103 does not look like timing, packets arrive in almost equal distances (10ms sequence)
 104
 105 Flags:
 106 0x0002: SYN (1x)
 107 0x0012: SYN,ACK (1x)
 108 0x0010: ACK (602x)
 109 0x0018: ACK,PSH (600x)
 110 0x0011: ACK,FIN (2x)
 111
 112 Expected distribution of values
 113
 114 \section{Rep:1.l}
 115 not a high variance detected:
 116 \begin{itemize}
 117 \item UDP Stream from 192.168.67.83:56040 to 192.168.67.37:80 %TODO fix
 118 \item UDP Stream from 192.168.67.82:50293 to 192.168.67.37:443 %TODO fix
 119 \item TCP Traffic between 192.168.67.81:56533 to 192.168.67.37:465 %TODO fix
 120 \imte UDP Stream from 192.168.67.84:36842 to 192.168.67.26:464
 121 \end{itemize}
 122
 123 Length also does not vary very much:
 124 \begin{itemize}
 125 \item Length 60 for Source Port 56040/udp
 126 \item Length 60 for Source Port 52093/udp
 127 \item Length 70 for ACK,PSH (600x), 74 for SYN (1x), 66 for ACK (1x) and 66 for FIN (1x) for Source Port 56533/tcp
 128 \item Length 66 for ACK, 74 for SYN,ACK for Source Port 465/tcp
 129 \item %TODO fix for sport 464
 130 \end{itemize}
 131
 132 %TODO DSCP is weird
 133
 134 \section{Rep:1.m}
 135 Unknown, because we do have two shorter transmissions before a longer transmission from different source ips
 136
 137 \section{Rep:1.n}
 138 Not yet. We do not know if the three transmissions are connected to each other
 139
 140 Most likely it is in the DSCP field of the third transmission. (This also has responses from the local system)
 141
 142 \section{Rep:1.o}
 143
 144
 145
 146
 147
 148
 149
 150
 151
 152
 153
 154
 155
 156
 157