Απομακρυσμένη καταγραφή πακέτων: ο αισθητήρας τοπικά, ο αναλυτής εξ αποστάσεως

Η καταγραφή πακέτων ανήκει εκεί όπου τα πακέτα ρέουν ήδη, και ο απομακρυσμένος αναλυτής σπάνια κάθεται εκεί. Η εφαρμόσιμη διάταξη είναι ένας αισθητήρας στο παρατηρούμενο τμήμα συν ένα VPN που μεταφέρει διαχείριση και ανάκτηση, όχι ολόκληρη την κατοπτρική ζεύξη. Ο διαχωρισμός αυτός κρατά τον φορητό του αναλυτή έξω από τη διαδρομή καταγραφής και κρατά τα ευαίσθητα ωφέλιμα φορτία στον τόπο. Τα βήματα παρακάτω επιλέγουν τη διεπαφή, περιορίζουν το αρχείο και μετακινούν μόνο ό,τι χρειάζεται το ερώτημα.

Ένας απομακρυσμένος φορητός δεν είναι σημείο λήψης

Η σύνδεση στο δίκτυο μέσω VPN δίνει στο μηχάνημά σας διαδρομή προς τον αισθητήρα, όχι ορατότητα της κίνησης μεταξύ άλλων κεντρικών υπολογιστών. Μια καταγραφή που λαμβάνεται στον φορητό σας βλέπει μόνο πακέτα που παραδίδονται στη διεπαφή του φορητού σας. Η παρακολούθηση μιας μεταγωγικής ζεύξης απαιτεί ο ιδιοκτήτης του δικτύου να παρέχει κατοπτρισμό ή σημείο λήψης που τροφοδοτεί αισθητήρα στον τόπο. Ακόμη και τότε ο κατοπτρισμός έχει όρια, γιατί οι υπερφορτωμένοι προορισμοί απορρίπτουν πλαίσια και μια πύλη δεν βλέπει ποτέ κίνηση που μένει μέσα στο ίδιο VLAN.

Μια κρυπτογραφημένη ροή παραμένει κρυπτογραφημένη και στον αισθητήρα, αφού το ωφέλιμο φορτίο TLS ανήκει στα άκρα. Η καταγραφή δίνει κεφαλίδες, χρονισμό και όγκο, όχι απλό κείμενο.

Επιλέξτε τη διεπαφή που βλέπει τη ροή

Πριν φιλτράρετε οτιδήποτε, καταγράψτε τις διεπαφές και επιβεβαιώστε ποια μεταφέρει τη διαδρομή για την οποία ρωτηθήκατε. Το μάντεμα ανάμεσα σε φυσική θύρα, δεσμό και γέφυρα είναι ένας συνηθισμένος τρόπος να συλλέξετε κενό αρχείο.

ip -br link
dumpcap -D

Αντιστοιχίστε το όνομα της διεπαφής με το σημείο παρατήρησης στο αρχείο αλλαγών, όχι με ένα όνομα που θυμάστε από άλλον κεντρικό υπολογιστή. Αν ο μετρητής πακέτων μένει στο μηδέν ενώ η υπηρεσία είναι εμφανώς απασχολημένη, ο αισθητήρας βρίσκεται σε λάθος τμήμα ή ο κατοπτρισμός έχει ρυθμιστεί για την άλλη κατεύθυνση. Αποδείξτε πρώτα τη διαδρομή με μια γνωστή ανταλλαγή, ώστε ένας σπασμένος κατοπτρισμός να μη θεωρηθεί ήσυχη εφαρμογή. Γράψτε τις λεπτομέρειες της διεπαφής και του κατοπτρισμού στις σημειώσεις καταγραφής όσο είναι ακόμη φρέσκες.

Περιορίστε την καταγραφή με φίλτρο και δακτύλιο

Μια καταγραφή χωρίς όρια γεμίζει τον δίσκο και συλλέγει περισσότερα απ' όσα απαιτεί το ερώτημα. Βάλτε την επιτρεπόμενη πηγή, τον προορισμό και το πρωτόκολλο στο φίλτρο και μετά περιορίστε το μέγεθος του αρχείου και τον αριθμό των αρχείων.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Η διεύθυνση και η θύρα παραπάνω είναι παραδείγματα από το εύρος τεκμηρίωσης, οπότε αντικαταστήστε τις με τις εγκεκριμένες τιμές και κρατήστε το παράθυρο αρκετά σύντομο ώστε τα στοιχεία να επιβιώσουν του δακτυλίου. Το μήκος στιγμιοτύπου κόβει το ωφέλιμο φορτίο κρατώντας τις κεφαλίδες, που συνήθως αρκεί για ερώτημα συνδεσιμότητας και είναι πολύ ευκολότερο στην αποθήκευση. Διαβάστε τη γραμμή απόρριψης του πυρήνα που εκτυπώνει το tcpdump στην έξοδο, γιατί υψηλός αριθμός απορρίψεων σημαίνει ότι η καταγραφή είναι ελλιπής και όχι ήσυχη. Διατηρήστε το παράθυρο που χρειάζεστε πριν το αντικαταστήσει ο δακτύλιος και καταγράψτε τη συμβολοσειρά φίλτρου δίπλα στο όνομα του αρχείου.

Μεταφέρετε το αρχείο, όχι ολόκληρη τη ζεύξη

Ανακτήστε την ολοκληρωμένη καταγραφή μέσω του καναλιού διαχείρισης αντί να μεταδίδετε τον κατοπτρισμό μέσω του WAN. Μία μεταφορά είναι ευκολότερο να εγκριθεί, να καταγραφεί και να διαγραφεί από μια συνεχή εξαγωγή.

scp [email protected]:/var/tmp/cap.pcap ./

Κρατήστε το αρχείο αναγνώσιμο μόνο από τον λογαριασμό του χειριστή και διαγράψτε το από τον αισθητήρα μόλις επαληθευτεί το αντίγραφο ανάλυσης. Αν η ζωντανή εξαγωγή είναι πράγματι η απαίτηση, διαστασιολογήστε την ενθυλάκωση του κατοπτρισμού και τη μεταφορά μαζί, γιατί η επιβάρυνση μπορεί να υπερβεί τον προϋπολογισμό της ζεύξης. Καταγράψτε τα κενά ορατότητας έτσι κι αλλιώς, αφού μια καταγραφή είναι απόδειξη με γνωστό σημείο παρατήρησης και όχι πλήρες αρχείο του δικτύου.