Аддалены захоп пакетаў: датчык на месцы, аналітык здалёк

Захоп пакетаў належыць туды, дзе пакеты ўжо ідуць, а аддалены аналітык рэдка знаходзіцца там. Працаздольная схема — гэта датчык на назіраным сегменце плюс VPN, які перадае кіраванне і выманне, а не ўсё люстраванае звяно. Такое раздзяленне трымае ноўтбук аналітыка па-за шляхам захопу і пакідае адчувальныя даныя на месцы. Крокі ніжэй выбіраюць інтэрфейс, абмяжоўваюць файл і пераносяць толькі тое, што патрабуе пытанне.

Аддалены ноўтбук — не кропка адбору

Далучэнне да сеткі праз VPN дае вашай машыне маршрут да датчыка, а не бачнасць трафіку паміж іншымі хастамі. Захоп, зняты на вашым ноўтбуку, бачыць толькі пакеты, дастаўленыя на інтэрфейс ноўтбука. Назіранне за камутаваным звяном патрабуе, каб уладальнік сеткі даў люстэрка або кропку адбору, якая сілкуе датчык на месцы. Нават тады люстэрка мае межы, бо перагружаныя прызначэнні скідаюць кадры, а шлюз ніколі не бачыць трафік, які застаецца ўнутры таго ж VLAN.

Зашыфраваны паток таксама застаецца зашыфраваным на датчыку, бо карысная нагрузка TLS належыць канчатковым пунктам. Захоп дае загалоўкі, час і аб'ём, а не адкрыты тэкст.

Выберыце інтэрфейс, які бачыць паток

Перш чым нешта фільтраваць, пералічыце інтэрфейсы і пацвердзіце, які з іх нясе шлях, пра які вас спыталі. Агадванне паміж фізічным портам, аб'яднаннем і мостам — звычайны спосаб сабраць пусты файл.

ip -br link
dumpcap -D

Супстаўце імя інтэрфейса з пунктам назірання ў запісе змен, а не з імем, якое вы памятаеце з іншага хаста. Калі лік пакетаў застаецца нулявым, пакуль сэрвіс відавочна заняты, датчык стаіць на няправільным сегменце або люстэрка наладжана на іншы кірунак. Спачатку давядзіце шлях вядомым абменам, каб зламанае люстэрка не прынялі за ціхае прыкладанне. Запішыце звесткі пра інтэрфейс і люстэрка ў нататкі да захопу, пакуль яны яшчэ свежыя.

Абмяжуйце захоп фільтрам і колам

Захоп без межаў запаўняе дыск і збірае больш, чым патрабуе пытанне. Унясіце дазволеныя крыніцу, прызначэнне і пратакол у фільтр, затым абмяжуйце памер файла і колькасць файлаў.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Адрас і порт вышэй — прыклады з дыяпазону дакументацыі, таму падстаўце зацверджаныя значэнні і трымайце акно дастаткова кароткім, каб доказы перажылі кола. Даўжыня здымка абразае карысную нагрузку, захоўваючы загалоўкі, што звычайна дастаткова для пытання пра злучэнне і значна прасцей захоўваецца. Чытайце радок скіду ядра, які tcpdump друкуе пры выхадзе, бо высокі лік скідаў азначае, што захоп няпоўны, а не ціхі. Захавайце патрэбнае акно, перш чым кола яго перазапіша, і запішыце радок фільтра побач з імем файла.

Пераносьце файл, а не ўсё звяно

Забірайце гатовы захоп праз канал кіравання, а не транслируйте люстэрка праз WAN. Адна перадача прасцей аўтарызуецца, лагуецца і выдаляецца, чым бесперапынны экспарт.

scp [email protected]:/var/tmp/cap.pcap ./

Трымайце файл даступным для чытання толькі ўліковаму запісу аператара і выдаліце яго з датчыка, як толькі копія для аналізу праверана. Калі жывы экспарт сапраўды патрабуецца, разлічыце інкапсуляцыю люстэрка і транспарт разам, бо накладныя выдаткі могуць перавысіць бюджэт звяна. Запісвайце прабелы бачнасці ў любым выпадку, бо захоп — гэта доказ з вядомай кропкай назірання, а не поўны запіс сеткі.