NetworkMiner 3.2 ganha suporte a RADIUS e amplia análise de protocolos OT/ICS
A nova versão do NetworkMiner adiciona um parser para o protocolo de autenticação RADIUS e aprofunda a extração de dados dos protocolos industriais UMAS e IEC-104, além de corrigir falhas na reconstrução de arquivos a partir de capturas PCAP. As mudanças reforçam o papel da ferramenta na forense de rede e de ambientes industriais (OT/ICS).
O NetworkMiner é uma ferramenta open source consolidada de Network Forensic Analysis (NFAT), usada para reconstruir sessões, arquivos e credenciais a partir de capturas de tráfego (PCAP) sem a necessidade de inspecionar pacote a pacote manualmente. A versão 3.2 adiciona um parser dedicado ao RADIUS, protocolo amplamente usado para autenticação em VPNs, redes Wi-Fi corporativas e acesso remoto, permitindo que o analista extraia nomes de usuário, senhas (em hash ou cifradas) e identificadores específicos do protocolo diretamente do tráfego capturado — útil tanto para reconstruir tentativas de autenticação legítimas quanto para identificar abuso de credenciais em um incidente.
No lado industrial, o reforço aos parsers UMAS (usado em PLCs Schneider Modicon) e IEC-104 (usado em supervisão de subestações elétricas e SCADA) é o ponto mais relevante para forense de infraestrutura crítica. O parser UMAS passou a decodificar comandos de leitura e escrita de endereço físico, o que permite a um analista determinar exatamente quais registradores ou memórias de um controlador lógico programável foram alterados durante um incidente — informação crítica para reconstruir sabotagem ou manipulação de processo físico. O IEC-104 ganhou suporte ao comando C_RC_TA_1, usado para incrementar ou decrementar um ponto de dado, outro vetor relevante em investigações de interferência em supervisório elétrico.
Além dos novos parsers, a atualização corrige bugs na extração/remontagem de arquivos a partir de PCAP (reportados externamente), o que é relevante porque falhas de reassembly podem fazer o analista perder ou corromper artefatos extraídos de uma captura durante uma investigação de exfiltração de dados. A remoção do download automático do banco JA4 (descontinuado pela FoxIO) é uma nota operacional: quem depende de fingerprinting JA4/JA4+ para correlacionar clientes TLS precisará providenciar a base manualmente. No conjunto, a atualização consolida o NetworkMiner como ferramenta relevante não só para forense de rede tradicional, mas também para a crescente demanda de perícia em ambientes OT/ICS, onde interpretar corretamente protocolos proprietários de automação é o fator decisivo para provar manipulação física a partir de tráfego de rede.