দূর থেকে প্যাকেট ক্যাপচার: সেন্সর স্থানীয়, বিশ্লেষক দূরে

প্যাকেট ক্যাপচারের জায়গা সেখানেই যেখানে প্যাকেট আগে থেকেই প্রবাহিত হয়, আর দূরের বিশ্লেষক কদাচিৎ সেখানে বসেন। কাজ করার মতো বিন্যাস হলো পর্যবেক্ষিত সেগমেন্টে একটি সেন্সর এবং একটি ভিপিএন যা প্রশাসন ও সংগ্রহ বহন করে, পুরো মিরর করা লিংক নয়। এই বিভাজন বিশ্লেষকের ল্যাপটপকে ক্যাপচার পথের বাইরে রাখে এবং সংবেদনশীল পেলোড সাইটেই রাখে। নিচের ধাপগুলো ইন্টারফেস বেছে নেয়, ফাইল সীমিত করে এবং প্রশ্নের যা দরকার কেবল তা-ই সরায়।

দূরের ল্যাপটপ ট্যাপ নয়

ভিপিএন দিয়ে নেটওয়ার্কে যোগ দিলে আপনার মেশিন সেন্সরে একটি রুট পায়, অন্য হোস্টদের মধ্যে ট্রাফিক দেখার ক্ষমতা নয়। আপনার ল্যাপটপে নেওয়া ক্যাপচার কেবল আপনার ল্যাপটপের ইন্টারফেসে পৌঁছানো প্যাকেট দেখে। সুইচড লিংক পর্যবেক্ষণ করতে নেটওয়ার্ক মালিককে মিরর বা ট্যাপ দিতে হয় যা সাইটের সেন্সরকে খাওয়ায়। তবুও মিররের সীমা থাকে, কারণ অতিরিক্ত চাপে থাকা গন্তব্য ফ্রেম ফেলে দেয় এবং গেটওয়ে একই ভ্ল্যানের ভিতরে থাকা ট্রাফিক কখনো দেখে না।

এনক্রিপ্টেড প্রবাহও সেন্সরে এনক্রিপ্টেডই থাকে, কারণ টিএলএস পেলোড প্রান্তবিন্দুগুলোর। ক্যাপচার হেডার, সময় ও আয়তন দেয়, প্লেইনটেক্সট নয়।

যে ইন্টারফেস প্রবাহ দেখে সেটিই বেছে নিন

কিছু ফিল্টার করার আগে ইন্টারফেসগুলো তালিকাভুক্ত করুন এবং যেটি আপনার জিজ্ঞাসিত পথ বহন করে তা নিশ্চিত করুন। ভৌত পোর্ট, বন্ড ও ব্রিজের মধ্যে অনুমান করা খালি ফাইল সংগ্রহের একটি সাধারণ উপায়।

ip -br link
dumpcap -D

ইন্টারফেসের নাম মেলান পরিবর্তন রেকর্ডের পর্যবেক্ষণ বিন্দুর সঙ্গে, অন্য হোস্ট থেকে মনে থাকা কোনো নামের সঙ্গে নয়। সেবা দৃশ্যত ব্যস্ত থাকলেও প্যাকেট সংখ্যা শূন্য থাকলে সেন্সর ভুল সেগমেন্টে বসে আছে বা মিরর অন্য দিকের জন্য তৈরি। আগে পরিচিত একটি বিনিময় দিয়ে পথ প্রমাণ করুন, যাতে ভাঙা মিররকে শান্ত অ্যাপ্লিকেশন ভুল না করা হয়। ইন্টারফেস ও মিররের বিবরণ ক্যাপচার নোটে লিখুন যখন তা এখনো তাজা।

ফিল্টার ও রিং দিয়ে ক্যাপচার সীমিত করুন

সীমাহীন ক্যাপচার ডিস্ক ভরায় এবং প্রশ্নের প্রয়োজনের বেশি সংগ্রহ করে। অনুমোদিত উৎস, গন্তব্য ও প্রোটোকল ফিল্টারে দিন, তারপর ফাইলের আকার ও ফাইলের সংখ্যা সীমিত করুন।

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

উপরের ঠিকানা ও পোর্ট ডকুমেন্টেশন রেঞ্জের উদাহরণ, তাই অনুমোদিত মান বসান এবং উইন্ডোটি যথেষ্ট ছোট রাখুন যাতে প্রমাণ রিং পেরিয়ে টিকে থাকে। স্ন্যাপশট দৈর্ঘ্য হেডার রেখে পেলোড কেটে দেয়, যা সাধারণত সংযোগ-সংক্রান্ত প্রশ্নের জন্য যথেষ্ট এবং সংরক্ষণ করা অনেক সহজ। tcpdump বের হওয়ার সময় যে কার্নেল ড্রপ লাইন ছাপে তা পড়ুন, কারণ বেশি ড্রপ মানে ক্যাপচার শান্ত নয়, অসম্পূর্ণ। রিং লেখার আগেই দরকারি উইন্ডো সংরক্ষণ করুন এবং ফাইলের নামের পাশে ফিল্টার স্ট্রিং লিখে রাখুন।

পুরো লিংক নয়, ফাইলটিই সরান

ডব্লিউএএন জুড়ে মিরর স্ট্রিম করার বদলে ব্যবস্থাপনা চ্যানেল দিয়ে শেষ হওয়া ক্যাপচারটি আনুন। একবার স্থানান্তর অনুমোদন, লগ ও মুছে ফেলা সহজ, নিরন্তর রপ্তানির তুলনায়।

scp [email protected]:/var/tmp/cap.pcap ./

ফাইলটি কেবল অপারেটর অ্যাকাউন্টের জন্য পঠনযোগ্য রাখুন, এবং বিশ্লেষণের কপি যাচাই হওয়ার পর সেন্সর থেকে মুছে দিন। যদি সত্যিই লাইভ রপ্তানি প্রয়োজন হয়, মিরর এনক্যাপসুলেশন ও পরিবহন একসঙ্গে মাপুন, কারণ অতিরিক্ত ভার লিংক বাজেট ছাড়িয়ে যেতে পারে। যেভাবেই হোক দৃশ্যমানতার ফাঁক লিখে রাখুন, কারণ ক্যাপচার পরিচিত পর্যবেক্ষণ বিন্দুসহ প্রমাণ, নেটওয়ার্কের সম্পূর্ণ রেকর্ড নয়।