Vzdálené zachytávání paketů: senzor zůstává na místě, analytik je vzdálený

Zachytávání paketů patří tam, kde pakety už proudí, a vzdálený analytik tam málokdy sedí. Fungující uspořádání je senzor na sledovaném segmentu plus VPN, která nese správu a stahování, ne celé zrcadlené spojení. Toto rozdělení drží notebook analytika mimo cestu zachytávání a citlivé obsahy nechává na místě. Postup níže vybírá rozhraní, ohraničuje soubor a přesouvá jen to, co otázka potřebuje.

Vzdálený notebook není odbočka

Připojení k síti přes VPN dává vašemu stroji trasu k senzoru, ne viditelnost provozu mezi ostatními hostiteli. Zachytávání na vašem notebooku vidí jen pakety doručené rozhraní vašeho notebooku. Sledování přepínaného spoje vyžaduje, aby správce sítě zajistil zrcadlo nebo odbočku napájející senzor na místě. I tak má zrcadlo meze, protože přetížené cíle zahazují rámce a brána nikdy nevidí provoz, který zůstává uvnitř stejné VLAN.

Šifrovaný tok zůstává šifrovaný i na senzoru, protože datová část TLS patří koncovým bodům. Zachytávání dává hlavičky, časování a objem, ne otevřený text.

Vyberte rozhraní, které vidí tok

Než cokoli filtrujete, vypište rozhraní a potvrďte, které nese cestu, na kterou jste byli dotázáni. Hádání mezi fyzickým portem, spojením a mostem je běžný způsob, jak získat prázdný soubor.

ip -br link
dumpcap -D

Přiřaďte název rozhraní k pozorovacímu bodu v záznamu změn, ne k názvu, který si pamatujete z jiného hostitele. Pokud počet paketů zůstává nula, zatímco služba je viditelně zaneprázdněná, senzor sedí na špatném segmentu nebo je zrcadlo nastaveno pro opačný směr. Nejdřív dokažte cestu známou výměnou, aby si porouchané zrcadlo nepletli s tichou aplikací. Zapište údaje o rozhraní a zrcadle do poznámek k zachytávání, dokud jsou ještě čerstvé.

Ohraničte zachytávání filtrem a kruhem

Zachytávání bez omezení zaplní disk a shromáždí víc, než otázka vyžaduje. Vložte povolený zdroj, cíl a protokol do filtru, pak ohraničte velikost souboru a počet souborů.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adresa a port výše jsou příklady z dokumentačního rozsahu, proto je nahraďte schválenými hodnotami a udržujte okno dost krátké, aby důkazy přežily kruh. Délka snímku zkracuje datovou část a zachovává hlavičky, což obvykle stačí na otázku o konektivitě a mnohem snáz se ukládá. Přečtěte řádek o zahazování z jádra, který tcpdump vypíše při ukončení, protože vysoký počet zahazování znamená, že zachytávání je neúplné, a ne tiché. Uchovejte okno, které potřebujete, než ho kruh přepíše, a poznamenejte řetězec filtru vedle názvu souboru.

Přesouvejte soubor, ne celé spojení

Stáhněte hotové zachytávání přes řídicí kanál, místo abyste zrcadlo streamovali přes WAN. Jeden přenos se snáz autorizuje, zaznamená a smaže než nepřetržitý export.

scp [email protected]:/var/tmp/cap.pcap ./

Soubor nechte čitelný jen pro účet operátora a po ověření analytické kopie jej ze senzoru smažte. Pokud je živý export skutečně požadavek, dimenzujte zapouzdření zrcadla a přenos společně, protože režie může přesáhnout rozpočet spoje. Mezery ve viditelnosti zapisujte tak jako tak, protože zachytávání je důkaz se známým pozorovacím bodem, ne úplný záznam sítě.