Afstand-pakketopname: hou die sensor plaaslik, die ontleder op afstand

Pakketopname hoort waar die pakkette reeds vloei, en die ontleder op afstand sit selde daar. Die werkbare reëling is 'n sensor op die waargeneemde segment plus 'n VPN wat administrasie en onttrekking dra, nie die hele gespieëlde skakel nie. Daardie verdeling hou die ontleder se skootrekenaar uit die opnamepad en hou sensitiewe ladings ter plaatse. Die stappe hieronder kies die koppelvlak, begrens die lêer en skuif net wat die vraag nodig het.

'n Afstand-skootrekenaar is nie 'n aftakking nie

Om oor die VPN by die netwerk aan te sluit gee jou masjien 'n roete na die sensor, nie sigbaarheid in verkeer tussen ander gashere nie. 'n Opname wat op jou skootrekenaar gemaak word, sien net pakkette wat by jou skootrekenaar se koppelvlak afgelewer word. Om 'n geskakelde skakel dop te hou, vereis dat die netwerkeienaar 'n spieël of aftakking verskaf wat 'n sensor ter plaatse voed. Selfs dan het die spieël perke, want oorbelaste bestemmings laat rame val en 'n poort sien nooit verkeer wat binne dieselfde VLAN bly nie.

'n Geënkripteerde stroom bly ook by die sensor geënkripteer, want die TLS-lading behoort aan die eindpunte. Opname lewer koptekste, tydsberekening en volume, nie gewone teks nie.

Kies die koppelvlak wat die vloei kan sien

Voordat jy enigiets filtereer, lys die koppelvlakke en bevestig watter een die pad dra waaroor jy gevra is. Om te raai tussen 'n fisiese poort, 'n bond en 'n brug is 'n algemene manier om 'n leë lêer te versamel.

ip -br link
dumpcap -D

Pas die koppelvlaknaam by die waarnemingspunt in die veranderingsrekord, nie by 'n naam wat jy van 'n ander gasheer onthou nie. As die pakketelling op nul bly terwyl die diens sigbaar besig is, sit die sensor op die verkeerde segment of is die spieël vir die ander rigting opgestel. Bewys die pad eers met 'n bekende uitruiling, sodat 'n gebreekte spieël nie as 'n stil toepassing misgetas word nie. Skryf die koppelvlak- en spieëldetails in die opname-notas terwyl dit nog vars is.

Begrens die opname met 'n filter en 'n ring

'n Opname sonder perke vul die skyf en versamel meer as wat die vraag vereis. Sit die toegelate bron, bestemming en protokol in die filter, en beperk dan die lêergrootte en die aantal lêers.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Die adres en poort hierbo is voorbeelde uit die dokumentasie-reeks, so vervang dit met die goedgekeurde waardes en hou die venster kort genoeg dat die bewyse die ring oorleef. Die momentopnamelengte sny die lading af terwyl dit die koptekste hou, wat gewoonlik genoeg is vir 'n verbindingsvraag en baie makliker om te stoor. Lees die kern se weglaat-reël wat tcpdump by afsluiting druk, want 'n hoë weglatingstelling beteken die opname is onvolledig eerder as stil. Bewaar die venster wat jy nodig het voordat die ring dit oorskryf, en teken die filterstring langs die lêernaam aan.

Skuif die lêer, nie die hele skakel nie

Haal die voltooide opname oor die bestuurskanaal eerder as om die spieël oor die WAN te stroom. Een oordrag is makliker om te magtig, te log en te verwyder as 'n deurlopende uitvoer.

scp [email protected]:/var/tmp/cap.pcap ./

Hou die lêer net leesbaar vir die operateurrekening, en verwyder dit van die sensor sodra die analise-kopie bevestig is. As regstreekse uitvoer werklik die vereiste is, beplan die spieël-inkapseling en die vervoer saam, want die bykomende las kan die skakelbegroting oorskry. Teken die sigbaarheidsgapings in elk geval aan, want 'n opname is bewyse met 'n bekende waarnemingspunt eerder as 'n volledige rekord van die netwerk.