Paketmitschnitt aus der Ferne: Sensor bleibt vor Ort, Analyse arbeitet entfernt

Paketmitschnitt gehört dorthin, wo die Pakete ohnehin fließen, und der entfernte Analyst sitzt selten dort. Die tragfähige Anordnung ist ein Sensor am beobachteten Segment plus ein VPN, das Verwaltung und Abholung trägt, nicht die gesamte gespiegelte Strecke. Diese Trennung hält den Laptop des Analysten aus dem Mitschnittpfad und lässt empfindliche Nutzdaten vor Ort. Die folgenden Schritte wählen die Schnittstelle, begrenzen die Datei und übertragen nur, was die Frage braucht.

Ein entfernter Laptop ist kein Abgriff

Der Beitritt zum Netz über das VPN gibt Ihrem Rechner eine Route zum Sensor, keine Sicht auf den Verkehr zwischen anderen Hosts. Ein Mitschnitt auf Ihrem Laptop sieht nur Pakete, die an die Schnittstelle Ihres Laptops zugestellt werden. Das Beobachten einer geswitchten Strecke erfordert, dass der Netzwerkeigentümer einen Spiegel oder einen Abgriff bereitstellt, der einen Sensor vor Ort speist. Selbst dann hat der Spiegel Grenzen, weil überbuchte Ziele Frames verwerfen und ein Gateway Verkehr, der innerhalb desselben VLAN bleibt, nie sieht.

Ein verschlüsselter Strom bleibt auch am Sensor verschlüsselt, da die TLS-Nutzdaten den Endpunkten gehören. Der Mitschnitt liefert Header, Zeitverhalten und Volumen, keinen Klartext.

Wählen Sie die Schnittstelle, die den Strom sieht

Bevor Sie irgendetwas filtern, listen Sie die Schnittstellen auf und bestätigen Sie, welche den Pfad trägt, nach dem gefragt wurde. Das Raten zwischen physischem Port, Bond und Bridge ist ein üblicher Weg, eine leere Datei zu sammeln.

ip -br link
dumpcap -D

Ordnen Sie den Schnittstellennamen dem Beobachtungspunkt im Änderungsdatensatz zu, nicht einem Namen, den Sie von einem anderen Host kennen. Bleibt der Paketzähler bei null, während der Dienst sichtbar beschäftigt ist, sitzt der Sensor am falschen Segment oder der Spiegel ist für die andere Richtung konfiguriert. Belegen Sie den Pfad zuerst mit einem bekannten Austausch, damit ein defekter Spiegel nicht für eine stille Anwendung gehalten wird. Schreiben Sie die Angaben zu Schnittstelle und Spiegel in die Mitschnittnotizen, solange sie noch frisch sind.

Begrenzen Sie den Mitschnitt mit Filter und Ring

Ein Mitschnitt ohne Grenzen füllt die Platte und sammelt mehr, als die Frage verlangt. Setzen Sie die erlaubte Quelle, das Ziel und das Protokoll in den Filter und begrenzen Sie dann die Dateigröße und die Anzahl der Dateien.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adresse und Port oben sind Beispiele aus dem Dokumentationsbereich, ersetzen Sie sie daher durch die genehmigten Werte und halten Sie das Fenster kurz genug, dass die Beweise den Ring überstehen. Die Snapshot-Länge kürzt die Nutzdaten und behält die Header, was für eine Konnektivitätsfrage meist reicht und viel leichter zu speichern ist. Lesen Sie die Kernel-Drop-Zeile, die tcpdump beim Beenden ausgibt, denn eine hohe Drop-Zahl bedeutet, dass der Mitschnitt unvollständig und nicht ruhig ist. Bewahren Sie das benötigte Fenster auf, bevor der Ring es überschreibt, und notieren Sie die Filterzeichenfolge neben dem Dateinamen.

Übertragen Sie die Datei, nicht die ganze Strecke

Holen Sie den fertigen Mitschnitt über den Verwaltungskanal ab, statt den Spiegel über das WAN zu streamen. Eine Übertragung ist leichter zu genehmigen, zu protokollieren und zu löschen als ein fortlaufender Export.

scp [email protected]:/var/tmp/cap.pcap ./

Halten Sie die Datei nur für das Operatorkonto lesbar und löschen Sie sie vom Sensor, sobald die Analysekopie geprüft ist. Wenn der Live-Export tatsächlich die Anforderung ist, dimensionieren Sie Spiegelkapselung und Transport gemeinsam, denn der Overhead kann das Linkbudget überschreiten. Notieren Sie die Sichtbarkeitslücken in jedem Fall, denn ein Mitschnitt ist ein Beweis mit bekanntem Beobachtungspunkt und kein vollständiges Protokoll des Netzes.