Uzaqdan paket tutma: sensor yerində qalsın, analitik uzaqda

Paket tutma paketlərin artıq axdığı yerdə olur və uzaq analitik nadir hallarda orada oturur. İşlək quruluş müşahidə olunan seqmentdə sensor və bütün əks olunan xətti deyil, idarəetmə və götürməni daşıyan şəxsi virtual şəbəkədir. Bu bölgü analitikin noutbukunu tutma yolundan kənarda saxlayır və həssas yükləri yerində qoyur. Aşağıdakı addımlar interfeysi seçir, faylı məhdudlaşdırır və yalnız sualın ehtiyac duyduğunu köçürür.

Uzaq noutbuk tutma nöqtəsi deyil

Şəbəkəyə şəxsi virtual şəbəkə ilə qoşulmaq maşınınıza sensora marşrut verir, digər hostlar arasındakı trafikə görünüş vermir. Noutbukunuzda götürülən tutma yalnız noutbukunuzun interfeysinə çatdırılan paketləri görür. Kommutasiya olunan xətti izləmək üçün şəbəkə sahibi yerindəki sensora qidalanan güzgü və ya tutma nöqtəsi təmin etməlidir. Hətta o zaman güzgünün hüdudları var, çünki həddindən artıq yüklənmiş təyinatlar kadrları atır və şlüz eyni yerli şəbəkə daxilində qalan trafiki heç vaxt görmür.

Şifrələnmiş axın sensorda da şifrələnmiş qalır, çünki TLS yükü son nöqtələrə aiddir. Tutma başlıqlar, vaxt və həcm verir, açıq mətn deyil.

Axını görə bilən interfeysi seçin

Heç nəyi filtrləməzdən əvvəl interfeysləri siyahıya alın və hansının soruşulduğunuz yolu daşıdığını təsdiqləyin. Fiziki port, birləşmə və körpü arasında təxmin etmək boş fayl toplamağın adi yoludur.

ip -br link
dumpcap -D

İnterfeys adını dəyişiklik qeydindəki müşahidə nöqtəsi ilə uyğunlaşdırın, başqa hostdan yadınızda qalan adla deyil. Xidmət görünür şəkildə məşğul ikən paket sayı sıfırda qalırsa, sensor səhv seqmentdədir və ya güzgü əks istiqamət üçün qurulub. Yolu əvvəlcə tanınmış mübadilə ilə sübut edin ki, xarab güzgü sakit tətbiqlə səhv salınmasın. İnterfeys və güzgü detallarını hələ təzə ikən tutma qeydlərinə yazın.

Tutmanı filtr və halqa ilə məhdudlaşdırın

Hüdudsuz tutma diski doldurur və sualın tələb etdiyindən çoxunu toplayır. İcazə verilən mənbəni, təyinatı və protokolu filtrə qoyun, sonra fayl ölçüsünü və fayl sayını məhdudlaşdırın.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Yuxarıdakı ünvan və port sənədləşmə aralığından nümunələrdir, ona görə təsdiqlənmiş dəyərlərlə əvəz edin və pəncərəni sübutlar halqadan sonra da qalsın deyə kifayət qədər qısa saxlayın. Snapshot uzunluğu başlıqları saxlayaraq yükü kəsir, bu adətən bağlantı sualı üçün kifayətdir və saxlamaq çox daha asandır. tcpdump çıxarkən çap etdiyi nüvə atma sətrini oxuyun, çünki yüksək atma sayı tutmanın sakit deyil, natamam olduğunu bildirir. Lazım olan pəncərəni halqa onu üzərinə yazmazdan əvvəl qoruyun və filtr sətrini fayl adının yanında qeyd edin.

Bütün xətti deyil, faylı köçürün

Hazır tutmanı güzgünü geniş şəbəkə üzərindən yayımlamaq əvəzinə idarəetmə kanalı ilə götürün. Bir köçürmə davamlı ixracdan daha asan icazələndirilir, qeydə alınır və silinir.

scp [email protected]:/var/tmp/cap.pcap ./

Faylı yalnız operator hesabı üçün oxunaqlı saxlayın və analiz nüsxəsi təsdiqləndikdən sonra onu sensordan silin. Əgər canlı ixrac həqiqətən tələbdirsə, güzgü inkapsulyasiyasını və nəqli birlikdə ölçün, çünki əlavə yük xətt büdcəsini aşa bilər. Görünüş boşluqlarını hər halda qeyd edin, çünki tutma məlum müşahidə nöqtəsi olan sübutdur, şəbəkənin tam qeydi deyil.