Tracedump : nowatorskie narzędzie typu sniffer pozwalające na zapis ruchu IP pojedynczej aplikacji

The article introduces a novel Internet diagnosis utility - an open source IP packet sniffer which captures TCP and UDP packets sent and received by a single Linux process only. Preliminary evaluation results are presented. The utility can be applied in the field of IP traffic classification.Artykuł prezentuje nowatorskie narzędzie open source służące do analizy ruchu internetowego należącego wyłacznie do jednej aplikacji działającej pod kontrola˛ systemu operacyjnego Linux. Program pozwala na zapis w postaci pliku PCAP wszystkich pakietów protokołów TCP i UDP, które zostały odebrane i wysłane przez wybraną aplikację w dowolnym momencie jej działania. W szczególności wynikowy plik PCAP zawiera wszystkie wykonane zapytania DNS. Implementacja narzędzia tego typu jest problematyczna, gdyż system Linux nie dostarcza mechanizmów śledzenia ruchu IP, które pozwalałyby na wystarczające ograniczenie zakresu monitorowanych zasobów w systemie. Z tego powodu w programie tracedump zostały zastosowane zaawansowane funkcje systemu Linux - wywołanie systemowe ptrace(2), wstrzykiwanie kodu maszynowego oraz filtry gniazd sieciowych BPF. Architektura programu oparta jest o 3 wątki - wątek śledzący otwierane porty TCP i UDP, wątek przechwytujący i filtrujący ruch IP w systemie oraz wątek wykrywający zakończone połączenia. Ponadto w artykule w sposób skrócony przedstawiono przykład praktycznego zastosowania narzędzia w celu oceny narzutu protokołu BitTorrent w sytuacji pobierania obrazu płyty CD z Internetu