10.0.10.20 پر موجود ایک ویب ایپلیکیشن کو اینالسٹ (تجزیہ کار) کے لیپ ٹاپ 10.0.10.50 سے ایک درخواست موصول ہوتی ہے، جبکہ بعد میں 10.0.30.66 سے آنے والا ٹریفک کا ایک سلسلہ (burst) دونوں اندرونی سب نیٹس (subnets) تک پہنچتا ہے۔ حملہ آور کو شواہد پیدا کرنے کے لیے لاگ ان کرنے کی ضرورت نہیں ہوتی۔ ہر پیکٹ یہ ریکارڈ کرتا ہے کہ ٹریفک کہاں سے آئی، کہاں جا رہی تھی، اور اسے کس پروٹوکول کے ذریعے منتقل کیا گیا۔ دفاع کرنے والے (defender) کے لیے سوال یہ ہے کہ ایک ہی کیپچر شدہ سیشن (captured session) سے متوقع ویب ٹریفک اور مشکوک جانچ پڑتال (probing) دونوں کا پتہ کیسے لگایا جائے، بغیر اس کے کہ کیپچر شدہ ڈیٹا کو محض بائٹس (bytes) کے ناقابلِ فہم سلسلے کے طور پر دیکھا جائے۔
ہماری مخصوص لیب میں 10.0.10.0/24 پر اینالسٹ کا لیپ ٹاپ اور ویب ایپلیکیشن، 10.0.10.53 پر ایک DNS ریزولوور، اور 10.0.20.10 پر ایک ڈیٹا بیس شامل ہیں۔ ایک فائر وال اور راؤٹر ان نیٹ ورکس کو 10.0.10.1 اور 10.0.20.1 کے ذریعے آپس میں جوڑتے ہیں؛ جبکہ حملہ آور کی VM (ورچوئل مشین) الگ سے 10.0.30.66 پر موجود ہے۔ ڈیٹا کیپچر کا عمل DNS اور ویب ٹریفک سے شروع ہوتا ہے اور پھر اس میں حملہ آور کی VM کا دونوں اندرونی نیٹ ورکس کے مختلف ایڈریسز سے رابطہ قائم کرنا بھی شامل ہو جاتا ہے۔ ہم اس کورس کے دوران بار بار انہی مخصوص ایڈریسز کا حوالہ دیں گے، تاکہ بعد میں لگائے جانے والے کسی بھی فلٹر یا الرٹ کے لیے ایک معلوم ‘بیس لائن’ (baseline) موجود رہے۔
یہ ڈایاگرام ڈیوائسز، ایڈریسز اور کیپچر شدہ ٹریفک کو ایک ہی جگہ پر ظاہر کرتا ہے:
یہ خاکہ ظاہر کرتا ہے کہ بعد میں کیا جانے والا اسکین (scan) کیوں اہم ہے۔ ویب ایپلیکیشن کے لیے کلائنٹ کی درخواست کا ایک متوقع مقصد ہوتا ہے، جبکہ 10.0.30.66 سے متعدد مقامات (destinations) تک بار بار قائم ہونے والے روابط جاسوسی یا معلومات اکٹھا کرنے کی سرگرمی (reconnaissance) کی نشاندہی کر سکتے ہیں۔ اگر روک تھام کی کوشش ناکام ہو جائے اور فائر وال ناپسندیدہ ٹریفک کو گزرنے کی اجازت دے دے، تب بھی ‘پیکٹ کیپچر’ (packet capture) سراغ لگانے کا ایک ذریعہ بنا رہتا ہے کیونکہ یہ ماخذ کا پتہ (source address)، منزل کا پتہ (destination address)، پروٹوکول اور وقت کا اندراج کرتا ہے۔ ‘نیٹ ورک سروس ڈسکوری’ (Network Service Discovery) دراصل ATT&CK v20 (اکتوبر 2026) میں ATT&CK تکنیک T1046 ہے، اور نیٹ ورک کا دفاع کرنے والے فائر وال لاگز، فلو ریکارڈز، یا پیکٹ کیپچرز کے ذریعے اس کے نیٹ ورک پیٹرن کا پتہ لگا سکتے ہیں۔
کیپچر کی گئی درخواست اس وقت سمجھ میں آتی ہے جب ہم اسے انکیپسولیشن (encapsulation) کے تناظر میں دیکھتے ہیں؛ یہ ایک ایسے عمل کا نام ہے جس میں ایک پروٹوکول کے ڈیٹا کو دوسرے پروٹوکول کے ہیڈر کے اندر رکھا جاتا ہے۔ مثال کے طور پر، براؤزر کی GET /login والی درخواست کو صرف اپنے متن (text) سے زیادہ معلومات کی ضرورت ہوتی ہے۔ نیٹ ورک کو اس کے ساتھ منزل کا پورٹ (destination port)، منزل کا IP ایڈریس، اور مقامی نیٹ ورک کی منزل کی معلومات بھی لے کر چلنا پڑتی ہیں۔
OSI ماڈل اور TCP/IP ماڈل اسی کام کو مختلف انداز میں ترتیب دیتے ہیں۔ OSI سات تہوں (layers) کا ذکر کرتا ہے، جبکہ TCP/IP عام طور پر پیکٹ کو ایپلیکیشن، ٹرانسپورٹ، انٹرنیٹ اور لنک لیئرز میں تقسیم کرتا ہے۔ ان میں سے کوئی بھی ماڈل بذاتِ خود کوئی الگ نیٹ ورک نہیں ہے۔ دونوں ہی اس ایتھرنیٹ فریم (Ethernet frame) کی وضاحت کرتے ہیں جسے Wireshark نے ریکارڈ کیا تھا۔
10.0.10.50 سے 10.0.10.20 تک کی ایک درخواست کے لیے، کون سی معلومات مقامی ترسیل (local delivery)، ہوسٹ تک ترسیل (host delivery)، وصول کنندہ سروس، اور مطلوبہ صفحے کی نشاندہی کرتی ہیں؟ نیچے دیا گیا پیکٹ اسٹیک (packet stack) ان حدود کو نمایاں رکھتا ہے:
یہ اسٹیک (stack) بیرونی سطح سے اندرونی سطح کی جانب جواب پیش کرتا ہے۔ ایتھرنیٹ (Ethernet) مقامی لنک پر فریم کی ترسیل کے لیے MAC ایڈریسز کا استعمال کرتا ہے۔ IPv4 میں 10.0.10.50 اور 10.0.10.20 شامل ہوتے ہیں تاکہ راؤٹرز نیٹ ورکس کے درمیان پیکٹ کو آگے بھیج سکیں۔ TCP مواصلت کے اختتامی پوائنٹس (endpoints) کی شناخت کے لیے پورٹ 51514 اور پورٹ 80 کا استعمال کرتا ہے، اور HTTP ایپلیکیشن ڈیٹا کے طور پر GET /login کو لے کر چلتا ہے۔ لہٰذا، پیکٹ کا تجزیہ کرنے والا (analyst) ہر فیلڈ کو ایک ساتھ تلاش کرنے کے بجائے ہر لیئر (تہہ) پر ایک مختلف سوال پوچھ سکتا ہے۔
ہیڈر کی ترتیب ایپلیکیشن کی درخواست کی تشریح کرنے سے پہلے، پیکٹ کی فیلڈز کو لنک ڈیلیوری سے لے کر ہوسٹ ڈیلیوری اور سروس ڈیلیوری تک کے مراحل کے مطابق پڑھیں۔
چونکہ فریم میں بیک وقت کئی لیئرز شامل ہوتی ہیں، اس لیے Wireshark کا ‘پیکٹ ڈیٹیلز پین’ (packet details pane) انہیں الگ الگ پروٹوکول اندراجات (entries) کے طور پر ظاہر کرتا ہے۔ Ethernet II لیئر 2 کی MAC فیلڈز کو ظاہر کرتا ہے، Internet Protocol Version 4 لیئر 3 کے ایڈریسز کو ظاہر کرتا ہے، اور Transmission Control Protocol لیئر 4 کی پورٹس اور کنٹرول فلیگز کو ظاہر کرتا ہے۔ Hypertext Transfer Protocol کا اندراج صرف تب ظاہر ہوتا ہے جب Wireshark قابلِ دید HTTP ڈیٹا کی شناخت کر سکے۔
ہر فریم میں HTTP کی درخواست شامل نہیں ہوتی۔ پہلی GET /login درخواست سے پہلے، TCP 10.0.10.50 کی جانب سے SYN اور 10.0.10.20 کی جانب سے SYN/ACK جواب کے ذریعے کنکشن قائم کرتا ہے۔ وہ پیکٹس بھی دونوں ہوسٹس اور پورٹس کی شناخت تو کرتے ہیں، لیکن ان میں کسی صفحے کی درخواست (page request) شامل نہیں ہوتی۔ نیچے دیا گیا حوالہ جاتی آؤٹ پٹ (reference output) اسی فلو (flow) سے فیلڈز کو اخذ کرتا ہے، بغیر اس دعوے کے کہ اسے کسی سسٹم پر چلایا جا رہا ہے: