Network Monitor è un prodotto software che Microsoft mette a disposizione gratuitamente per poter analizzare a basso livello tutto ciò che accade sulla rete. Network Monitor è a tutti gli effetti un analizzatore di protocollo: si tratta di uno strumento progettato appositamente per catturare, registrare, visualizzare, decodificare Frames che viaggiano sulla rete. Questo strumento viene anche chiamato “packet captures” o “packet sniffers”, indicando così che serve per catturare i pacchetti IP anche se, in realtà, vengono catturati Frames di secondo livello, mentre i pacchetti notoriamente sono di terzo livello. Questo strumento, una volta catturati i Frames, li analizza in profondità decodificandoli e dissezionandoli. Fatto questo, è capace di mostrare il traffico di rete in una configurazione che sia leggibile e comprensibile dagli utenti. In questo modo sarà possibile comprendere ciò che sta accadendo sulla rete.
Per questo motivo, in un contesto moderno, l’analisi del traffico di rete dovrebbe essere affrontata conoscendo tre strumenti:
- Microsoft Network Monitor, utile per ambienti legacy o analisi di vecchi file
.cap; - Pktmon, integrato in Windows e adatto a diagnostica avanzata e acquisizioni lato sistema operativo;
- Wireshark, riferimento de facto per analisi protocollare avanzata e investigazioni tecniche approfondite.
Formazione tecnica
Vuoi formare il tuo team su troubleshooting di rete, cybersecurity e analisi dei protocolli? Consulta i corsi di formazione Nexsys o il corso Cybersecurity Blue Team.
Cos’è Microsoft Network Monitor
Microsoft Network Monitor, spesso abbreviato in NetMon, è un analizzatore di protocollo progettato per catturare, visualizzare e decodificare il traffico che transita su una o più interfacce di rete.
Tecnicamente, viene spesso definito “packet sniffer”, anche se il termine più corretto è frame analyzer, perché l’acquisizione avviene a livello 2 del modello OSI. I pacchetti IP appartengono invece al livello 3.
Con Network Monitor è possibile:
- catturare traffico in ingresso e in uscita da una scheda di rete;
- visualizzare sorgente, destinazione, protocollo e processo associato;
- salvare le acquisizioni in formato
.cap; - applicare filtri per isolare traffico TCP, UDP, ARP, HTTP, DNS o porte specifiche;
- analizzare problemi di comunicazione tra client, server e applicazioni.
Network Monitor rimane utile in alcuni scenari specifici, soprattutto quando si lavora su sistemi legacy o su acquisizioni storiche. Non dovrebbe però essere considerato lo strumento principale per nuove implementazioni o troubleshooting moderno.
Requisiti di sistema
I sistemi operativi che lo supportano sono:
- Windows 7
- Windows 8
- Windows Server 2003 Service Pack 2
- Windows Server 2003 Service Pack 2 x64 Edition
- Windows Server 2008
- Windows Server 2008 R2
- Windows Server 2008 R2 for Itanium-based Systems
- Windows Server 2012
- Windows Vista 64-bit Editions Service Pack 1
- Windows Vista Service Pack 1
- Windows XP 64-bit, Windows XP Service Pack 3
Dal punto di vista hardware invece:
- 1 GHz or greater CPU
- 1 GB or greater memory
- 60 MB free hard disk space plus extra room for capture files
Perché analizzare il traffico di rete
L’analisi del traffico di rete è rilevante in almeno quattro aree operative.
1. Troubleshooting applicativo
Quando un’applicazione non comunica correttamente con un server, la packet capture consente di verificare se il problema è lato rete, DNS, firewall, TLS, autenticazione o applicazione.
Esempi tipici:
- connessione TCP non completata;
- reset improvvisi della sessione;
- errori DNS;
- handshake TLS fallito;
- pacchetti persi;
- timeout tra client e server;
- porte bloccate da firewall o proxy.
2. Analisi delle performance
La cattura del traffico permette di osservare latenze, ritrasmissioni TCP, problemi di window scaling, congestione, MTU errata o comunicazioni eccessivamente verbose.
Indicatori utili:
- TCP retransmission;
- duplicate ACK;
- TCP zero window;
- round trip time elevato;
- frammentazione;
- traffico broadcast anomalo.
3. Cybersecurity e rilevamento anomalie
In ambito sicurezza, l’analisi del traffico consente di individuare comportamenti sospetti che non sempre emergono da antivirus, EDR o firewall.
Esempi:
- beaconing verso domini esterni;
- traffico DNS anomalo;
- connessioni verso IP insoliti;
- scansioni interne;
- esfiltrazione dati;
- comunicazioni laterali tra host;
- uso improprio di protocolli legacy.
CTA interna — Servizi Cybersecurity
Per attività di analisi, hardening e rilevamento anomalie di rete, consulta i servizi cybersecurity Nexsys e la pagina dedicata alla Network Security.
4. Incident response e digital forensics
Durante un incidente, una packet capture può aiutare a ricostruire comunicazioni, endpoint coinvolti, protocolli utilizzati, direzione del traffico e possibili canali di comando e controllo.
La cattura del traffico non sostituisce log, EDR, SIEM o forensic imaging, ma rappresenta una fonte tecnica ad alta fedeltà quando raccolta nel momento corretto.
CTA interna — Incident Response
Per predisporre procedure operative prima di un incidente, consulta il servizio Incident Response Plan e le attività di Ransomware Recovery.
Network Monitor: requisiti e limiti
La versione storica di Microsoft Network Monitor supportava sistemi operativi come Windows XP, Windows Vista, Windows 7, Windows 8, Windows Server 2003, Windows Server 2008, Windows Server 2008 R2 e Windows Server 2012. La pagina Microsoft ufficiale classifica Network Monitor 3.4 come versione archiviata e non più in sviluppo.
Questa informazione è importante: usare Network Monitor oggi su ambienti moderni può avere senso solo per compatibilità o analisi specifiche, non come standard operativo.
Limiti principali
- prodotto non più sviluppato;
- interfaccia e parser non aggiornati ai protocolli moderni;
- supporto limitato rispetto a sistemi recenti;
- non adatto come scelta primaria per analisi avanzate;
- da usare con cautela in ambienti produttivi moderni.
Come eseguire una scansione della rete
- Eseguire il programma NetMon scegliendo l’opzione Esegui come amministratore
- Selezionare la scheda di rete sulla quale si vuole acquisire il traffico quindi fare clic su Nuova Acquisizione (New Capture) e poi su Avvia (Start)
- Sul display si vedranno tutti i pacchetti che Network Monitor sta catturando. Ogni pacchetto verrà identificato da varie informazioni come il nome del processo, la sorgente, la destinazione e il protocollo
- Dopo che avrà trovato abbastanza pacchetti, potremo selezionare Interrompi e passare a File > Salva con come in modo da salvare i risultati in un file con estensione .Cap (di default)
In questo modo siamo riusciti a catturare il traffico che viaggia verso e dalle schede di rete selezionate.
I filtri
Attraverso i filtri viene data la possibilità di decidere di analizzare solo una particolare categoria di pacchetti. Per esempio se non vogliamo analizzare tutti i pacchetti che vengono scambiati nella rete possiamo decidere di catturare solo quelli in cui la porta TCP sorgente è la 80 andando a settare
Tcp.SrcPort == 80
Quando, dopo “Tcp” aggiungiamo il “.”, il programma ci viene in nostro aiuto e ci mostra una serie di dati che possiamo inserire. Se, come nell’esempio citato sopra, scriviamo un protocollo o un’altra struttura e ci aggiungiamo il punto, possiamo scegliere fra una serie di altri parametri, che ci vengono forniti dal programma, per scendere al secondo livello ed effettuare un filtraggio ancora più specifico.
Vediamo ora alcuni esempi di filtri:
- ARP: applicando questo filtro, tutti i pacchetti che utilizzano il protocollo ARP.
- NOT ARP (o !ARP): filtro opposto a quello precedente quindi cattura tutto il traffico che non utilizza il protocollo ARP
- TCPOptions.Option.Sack: verranno visualizzati tutti i frames dove il parametro SACK (Selective Acknowledgments) è presente
- Port == 5555: in questo caso viene catturato tutto il traffico su una porta specifica. Se non specifichiamo se si tratta della porta di sorgente o destinazione il 5555 indica entrambe
- SrcPort == 5555 OR Tcp.DstPort == 5555: in questo modo specifichiamo le due porte
- Address == 192.168.1.1
- Address==0x1185AE4E95
Oltre a quelli appena visti sono presenti molti altri filtri per “scartare” informazioni superflue o non necessarie
Errori frequenti durante una packet capture
Catturare troppo traffico
Una cattura troppo lunga produce file difficili da analizzare. Il metodo corretto è:
- preparare la cattura;
- avviarla;
- riprodurre il problema;
- fermarla immediatamente;
- salvare il file;
- documentare timestamp, host coinvolti e azione eseguita.
Non sincronizzare gli orologi
Se si confrontano packet capture, log applicativi, log firewall, eventi Windows e log SIEM, gli orologi devono essere coerenti. Differenze di pochi minuti possono compromettere la ricostruzione temporale.
Catturare dalla posizione sbagliata
La cattura può essere eseguita:
- lato client;
- lato server;
- su firewall;
- su switch con port mirroring;
- su host virtualizzato;
- su gateway VPN;
- su proxy.
Il punto di acquisizione cambia radicalmente ciò che si vede.
Ignorare DNS e TLS
Molti problemi applicativi moderni non sono “problemi di rete” in senso stretto, ma problemi DNS, certificati, TLS, proxy o autenticazione.
Una buona analisi deve sempre considerare:
- risoluzione DNS;
- handshake TCP;
- handshake TLS;
- certificato presentato;
- SNI;
- proxy;
- firewall;
- reset di sessione;
- autenticazione applicativa.
Pktmon: alternativa Microsoft moderna integrata in Windows
Pktmon è lo strumento Microsoft moderno integrato in Windows per diagnostica di rete. Microsoft lo descrive come un tool cross-component per packet capture, packet drop detection, packet filtering e counting. È particolarmente utile in scenari di virtualizzazione, container networking e SDN, perché offre visibilità nello stack di rete del sistema operativo.
Best practice operative
1. Definire prima l’obiettivo
Una packet capture senza ipotesi produce rumore. Prima di acquisire traffico, definire:
- host sorgente;
- host destinazione;
- porta;
- protocollo;
- timestamp;
- azione da riprodurre;
- risultato atteso;
- errore osservato.
2. Ridurre la finestra temporale
La cattura deve coprire il problema, non l’intera giornata lavorativa.
Metodo corretto:
- avviare la cattura;
- riprodurre il problema;
- fermare la cattura;
- salvare;
- annotare ora esatta e test eseguito.
3. Proteggere i dati acquisiti
Una packet capture può contenere:
- indirizzi IP interni;
- hostname;
- query DNS;
- URL;
- cookie;
- token;
- metadati applicativi;
- credenziali se protocolli non cifrati sono ancora presenti.
Il file deve essere trattato come dato sensibile.
4. Correlare sempre con altri log
La packet capture da sola non basta. Deve essere correlata con:
- Event Viewer;
- log firewall;
- log proxy;
- log DNS;
- log applicativi;
- Microsoft Defender;
- SIEM;
- EDR;
- log VPN;
- log identity provider.
Assessment e sicurezza infrastrutturale
Per una verifica strutturata dello stato di sicurezza dell’infrastruttura, consulta l’Assessment Active Directory e il Risk Assessment.
FAQ
Microsoft Network Monitor è ancora consigliato?
Solo per scenari legacy o compatibilità con vecchie acquisizioni. Microsoft lo classifica come prodotto archiviato e non più in sviluppo.
Qual è l’alternativa Microsoft moderna a Network Monitor?
Pktmon è lo strumento integrato in Windows per packet capture, drop detection, filtering e counting. È disponibile tramite pktmon.exe.
Wireshark è migliore di Network Monitor?
Per analisi protocollare moderna, generalmente sì. Wireshark supporta un numero molto ampio di protocolli, filtri avanzati, apertura di file di cattura e analisi dettagliata del traffico.
Una packet capture può rilevare malware?
Può evidenziare traffico anomalo, comunicazioni sospette, beaconing, DNS insoliti o connessioni verso destinazioni non autorizzate. Non sostituisce EDR, SIEM e analisi forense, ma è una fonte tecnica molto utile.
Dove conviene eseguire la cattura?
Dipende dal problema. In genere si parte dal client o dal server coinvolto. Per problemi di rete più ampi può essere necessario catturare da firewall, switch con port mirroring, gateway VPN o host virtualizzati.
Nexsys è in grado di analizzare lo stato della tua rete e darti evidenza di eventuali colli di bottiglia o capire se è in corso nella tua rete un'infezione. Contattaci per una consulenza gratuita o se sei interessato a corsi di formazione che ti permetteranno di ampliare le tue conoscenza e rimanere sempre aggiornato su prodotti e tecnologie per aziende e privati, consulta le nostre pagine di corsi di formazione