FlowCarp identifica protocolos no tráfego de rede sem depender de portas ou assinaturas
A Netresec lançou o FlowCarp, uma ferramenta de linha de comando que identifica o protocolo de aplicação em capturas de rede a partir de medições estatísticas do fluxo — sem usar número de porta, assinaturas estáticas ou parsers de protocolo. A abordagem reconhece até protocolos proprietários e canais de C2 de malware, como o do Mirai, que costumam escapar de IDS baseados em assinatura. A saída segue o formato Suricata Eve JSON (ou CSV), o que facilita encaixar a ferramenta no fluxo de análise pericial de tráfego.
A Netresec anunciou o FlowCarp, uma ferramenta de linha de comando criada por Erik Hjelmvik para identificar qual protocolo de camada de aplicação está presente em uma captura de rede (PCAP ou PcapNG). O problema que ela ataca é antigo na forense de rede: o número da porta mente, protocolos proprietários não têm parser pronto e canais de comando e controle de malware são desenhados justamente para não parecer nada conhecido. FlowCarp propõe um caminho diferente para resolver isso.
Em vez de depender de portas, assinaturas estáticas ou de código que tenta interpretar cada protocolo, o FlowCarp calcula um conjunto de medições estatísticas sobre o tráfego observado e compara essas medições com modelos de protocolos conhecidos. A consequência prática é que, para ensinar a ferramenta a reconhecer um novo protocolo, basta fornecer tráfego de exemplo daquele protocolo — não é preciso escrever assinatura nem dissector. Há um serviço de demonstração em demo.flowcarp.com que recebe PCAP/PcapNG por HTTP POST e devolve um JSON no formato Suricata Eve; a mesma análise roda localmente a partir de binários pré-compilados, com saída em Eve JSON ou CSV, e o projeto cita ainda identificação de protocolo em tempo real.
O exemplo do próprio autor é ilustrativo: ao processar o pcapng de uma execução de amostra Mirai em sandbox, o FlowCarp apontou "MALWARE protocol detected: Mirai" para um servidor de C2 em TCP 107.189.17.70:80. Como o texto observa, um IDS por assinatura provavelmente não geraria alerta nesse mesmo tráfego, porque criar boas assinaturas para o C2 do Mirai é difícil — e é exatamente aí que a classificação por comportamento estatístico ganha da inspeção por padrão fixo.
Para a perícia de rede, o ponto que importa é a independência de porta e de assinatura. Reconstruir sessões e triar capturas grandes exige antes de tudo saber o que é cada fluxo; C2 que troca de porta, tunela em cima de protocolos comuns ou usa formato proprietário é o ponto cego clássico do IDS tradicional. Classificar por medição estatística amplia a cobertura, reduz falsos negativos e, por adotar o formato Eve do Suricata, encaixa diretamente em pipelines de detecção e DFIR já existentes, sem inventar mais um formato de log.
Vale a ressalva de que a qualidade da identificação depende dos modelos de tráfego usados como referência, e que a ferramenta diz qual é o protocolo, não decodifica o conteúdo — para extrair artefatos ainda se recorre a Wireshark, Zeek ou dissectores dedicados. Ainda assim, num cenário cada vez mais dominado por tráfego cifrado e ofuscado, onde a inspeção profunda de pacote falha, uma triagem que reconhece o protocolo pelo comportamento é um ganho concreto para quem investiga incidentes a partir da rede.