Xplico

Xplico es una herramienta de análisis forense de redes (NFAT, por sus siglas en inglés), un software que reconstruye el contenido de las adquisiciones realizadas con un analizador de paquetes (por ejemplo, Wireshark , tcpdump , Netsniff-ng ).

A diferencia del analizador de protocolos , cuya característica principal no es la reconstrucción de los datos llevados a cabo por los protocolos, Xplico nació expresamente con el objetivo de reconstruir los datos de aplicación del protocolo y es capaz de reconocer los protocolos con una técnica denominada Identificación de Protocolo Independiente del Puerto (PIPI). ^{[ 2 ]}

El nombre "xplico" hace referencia al verbo latino explico y su significado.

Xplico es software libre y de código abierto , sujeto a los requisitos de la Licencia Pública General de GNU (GPL), versión 2. ^{[ 3 ]}

Utilizando datos sin procesar de Ethernet o PPP de una navegación web ( protocolo HTTP ), Xplico extrae datos de la aplicación y reconstruye el contenido de un paquete. En el caso del protocolo HTTP, se extraen imágenes, archivos o cookies. De forma similar, Xplico puede reconstruir el correo electrónico intercambiado con los protocolos IMAP , POP y SMTP .

Entre los protocolos que Xplico identifica y reconstruye se encuentran VoIP , MSN , IRC , HTTP, IMAP, POP, SMTP y FTP .

En estos ejemplos, se asume que eth0 es la interfaz de red utilizada.

• Adquisición y decodificación en tiempo real:

xplico -m rltm -i eth0

• decodificación de un único archivo pcap:

xplico -m pcap -f example.pcap

• decodificando un directorio que contiene muchos archivos pcap

xplico -m pcap -d /ruta/directorio/

En todos los casos, los datos decodificados se almacenan en un directorio llamado xdecode . Con el parámetro -m podemos seleccionar el tipo de " módulo de entrada ". El módulo de entrada llamado rltm adquiere los datos directamente de la interfaz de red; por el contrario, el módulo de entrada llamado pcap adquiere los datos de archivos pcap o directorios.

Xplico viene instalado por defecto en las principales distribuciones de software forense digital y pruebas de penetración :

• Kali Linux , ^{[ 9 ]}
• BackTrack , ^{[ 10 ]}
• DEFT, ^{[ 11 ]}
• Cebolla de seguridad
• Matriz
• Caja trasera
• Repositorio de herramientas forenses de Linux de CERT . ^{[ 12 ]}

• Comparación de analizadores de paquetes
• tcpdump , un analizador de paquetes
• pcap , una interfaz de programación de aplicaciones (API) para capturar tráfico de red.
• snoop , un analizador de paquetes de línea de comandos incluido en Solaris.
• Wireshark , un analizador de paquetes de red.
• dsniff , un analizador de paquetes y un conjunto de herramientas para el análisis de tráfico.
• netsniff-ng , un kit de herramientas de red gratuito para Linux
• ngrep , una herramienta que puede hacer coincidir expresiones regulares dentro de las cargas útiles de los paquetes de red.
• etherape , una herramienta de mapeo de redes que se basa en el análisis del tráfico.
• tcptrace , una herramienta para analizar los registros producidos por tcpdump.

• Sitio web oficial
• Nube de demostración de Xplico
• Nube de demostración de PCAP2WAV y RTP2WAV