Отдалечено прихващане на пакети: сензорът на място, анализаторът отдалеч

Прихващането на пакети принадлежи там, където пакетите вече текат, а отдалеченият анализатор рядко седи там. Работещото решение е сензор на наблюдавания сегмент плюс VPN, който пренася администриране и изтегляне, а не цялата огледална връзка. Това разделение държи лаптопа на анализатора извън пътя на прихващане и запазва чувствителните данни на място. Стъпките по-долу избират интерфейса, ограничават файла и преместват само нужното за въпроса.

Отдалеченият лаптоп не е точка на прихващане

Присъединяването към мрежата през VPN дава на машината ви маршрут до сензора, а не видимост към трафика между други хостове. Прихващане, направено на вашия лаптоп, вижда само пакетите, доставени до интерфейса на лаптопа. Наблюдението на комутирана връзка изисква собственикът на мрежата да осигури огледало или точка на прихващане, която захранва сензор на място. Дори тогава огледалото има граници, защото претоварените дестинации изпускат кадри и шлюзът никога не вижда трафика, който остава в същия VLAN.

Криптираният поток също остава криптиран при сензора, тъй като TLS полезният товар принадлежи на крайните точки. Прихващането дава заглавки, време и обем, не открит текст.

Изберете интерфейса, който вижда потока

Преди да филтрирате каквото и да е, изброете интерфейсите и потвърдете кой носи пътя, за който ви попитаха. Гадаенето между физически порт, агрегация и мост е чест начин да съберете празен файл.

ip -br link
dumpcap -D

Свържете името на интерфейса с точката на наблюдение в записа за промени, а не с име, което помните от друг хост. Ако броят на пакетите остава нула, докато услугата е видимо заета, сензорът е на грешен сегмент или огледалото е конфигурирано за другата посока. Първо докажете пътя с известен обмен, за да не се вземе счупено огледало за тихо приложение. Запишете подробностите за интерфейса и огледалото в бележките към прихващането, докато са още свежи.

Ограничете прихващането с филтър и кръг

Прихващане без граници запълва диска и събира повече, отколкото изисква въпросът. Поставете разрешените източник, дестинация и протокол във филтъра, после ограничете размера на файла и броя файлове.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Адресът и портът по-горе са примери от диапазона за документация, затова заменете с одобрените стойности и дръжте прозореца достатъчно кратък, за да оцелеят доказателствата след кръга. Дължината на снимката отрязва полезния товар, като запазва заглавките, което обикновено е достатъчно за въпрос за свързаност и много по-лесно за съхранение. Прочетете реда за отпадане на ядрото, който tcpdump отпечатва при изход, защото високият брой отпадания означава, че прихващането е непълно, а не тихо. Запазете прозореца, който ви трябва, преди кръгът да го презапише, и запишете низа на филтъра до името на файла.

Прехвърлете файла, а не цялата връзка

Изтеглете готовото прихващане по канала за управление, вместо да предавате огледалото по WAN. Едно прехвърляне е по-лесно за оторизиране, регистриране и изтриване от непрекъснат експорт.

scp [email protected]:/var/tmp/cap.pcap ./

Дръжте файла четимо само за операторския акаунт и го изтрийте от сензора, след като копието за анализ е проверено. Ако живият експорт наистина е изискването, оразмерете инкапсулацията на огледалото и транспорта заедно, защото допълнителната тежест може да надхвърли бюджета на връзката. Записвайте пропуските във видимостта така или иначе, защото прихващането е доказателство с известна точка на наблюдение, а не пълен запис на мрежата.