Fjernoptagelse af pakker: sensoren bliver lokalt, analytikeren arbejder eksternt

Pakkefangst hører til der, hvor pakkerne allerede flyder, og den eksterne analytiker sidder sjældent der. Den brugbare ordning er en sensor på det observerede segment plus en VPN, der bærer administration og hentning, ikke hele det spejlede link. Den opdeling holder analytikerens bærbare ude af optagelsesvejen og holder følsomme datamængder på stedet. Trinnene nedenfor vælger grænsefladen, afgrænser filen og flytter kun det, spørgsmålet har brug for.

En fjernbærbar er ikke et tap

At slutte sig til netværket over VPN giver din maskine en rute til sensoren, ikke indsigt i trafik mellem andre værter. En optagelse foretaget på din bærbare ser kun pakker, der leveres til din bærbares grænseflade. Overvågning af et svitset link kræver, at netværksejeren stiller et spejl eller et tap til rådighed, som føder en sensor på stedet. Selv da har spejlet grænser, fordi overtegnede destinationer dropper rammer, og en gateway ser aldrig trafik, der bliver inde i samme VLAN.

En krypteret strøm forbliver også krypteret ved sensoren, da TLS-nyttelasten tilhører endepunkterne. Optagelsen giver headere, timing og volumen, ikke klartekst.

Vælg den grænseflade, der kan se strømmen

Før du filtrerer noget, skal du liste grænsefladerne og bekræfte, hvilken der bærer den vej, du blev spurgt om. At gætte mellem en fysisk port, en bond og en bro er en almindelig måde at samle en tom fil.

ip -br link
dumpcap -D

Knyt grænsefladenavnet til observationspunktet i ændringsloggen, ikke til et navn, du husker fra en anden vært. Hvis pakketællingen bliver på nul, mens tjenesten tydeligt er travl, sidder sensoren på det forkerte segment, eller spejlet er konfigureret til den anden retning. Bevis først vejen med en kendt udveksling, så et brudt spejl ikke forveksles med en stille applikation. Skriv grænseflade- og spejldetaljerne ned i optagelsesnoterne, mens de er friske.

Afgræns optagelsen med et filter og en ring

En optagelse uden grænser fylder disken og samler mere, end spørgsmålet kræver. Sæt den tilladte kilde, destination og protokol i filteret, og begræns derefter filstørrelsen og antallet af filer.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adressen og porten ovenfor er eksempler fra dokumentationsområdet, så indsæt de godkendte værdier, og hold vinduet kort nok til, at beviset overlever ringen. Snapshotlængden afkorter nyttelasten og beholder headere, hvilket normalt er nok til et spørgsmål om forbindelse og langt lettere at gemme. Læs kernen drop-linje, som tcpdump udskriver ved afslutning, fordi et højt droptal betyder, at optagelsen er ufuldstændig og ikke stille. Bevar det vindue, du har brug for, før ringen overskriver det, og notér filterstrengen ved siden af filnavnet.

Flyt filen, ikke hele linket

Hent den færdige optagelse over administrationskanalen i stedet for at streame spejlet over WAN. Én overførsel er lettere at autorisere, logge og slette end en løbende eksport.

scp [email protected]:/var/tmp/cap.pcap ./

Hold filen læsbar for operatørkontoen alene, og slet den fra sensoren, når analysekopien er verificeret. Hvis live-eksport virkelig er kravet, dimensioner spejlindkapsling og transport sammen, fordi overhead kan overstige linkbudgettet. Notér synlighedshullerne uanset hvad, da en optagelse er bevis med et kendt observationspunkt og ikke en fuldstændig registrering af netværket.