Kaugpakettide püüdmine: andur jääb kohapeale, analüütik töötab eemalt

Pakettide püüdmine kuulub sinna, kus paketid juba liiguvad, ja kauganalüütik istub seal harva. Toimiv lahendus on andur vaadeldaval segmendil pluss VPN, mis kannab haldust ja kogumist, mitte kogu peegeldatud lüli. See jaotus hoiab analüütiku sülearvuti püüdmistee väljas ja hoiab tundlikud andmed kohapeal. Allpool toodud sammud valivad liidese, piiravad faili ja liigutavad ainult seda, mida küsimus vajab.

Kaugsülearvuti ei ole püüdmispunkt

VPN-i kaudu võrku liitumine annab teie masinale marsruudi andurini, mitte nähtavuse teiste hostide vahelisele liiklusele. Teie sülearvutil tehtud püüdmine näeb ainult pakette, mis toimetatakse teie sülearvuti liidesele. Kommuteeritud lüli jälgimine nõuab, et võrgu omanik pakuks peeglit või püüdmispunkti, mis toidab kohapealset andurit. Isegi siis on peeglil piirid, sest ülekoormatud sihtkohad viskavad kaadreid ära ja lüüs ei näe kunagi liiklust, mis jääb sama VLAN-i sisse.

Krüpteeritud voog jääb krüpteerituks ka anduri juures, sest TLS-i kasulik koormus kuulub otspunktidele. Püüdmine annab päised, aja ja mahu, mitte avateksti.

Valige liides, mis suudab voogu näha

Enne millegi filtreerimist loetlege liidesed ja kinnitage, milline kannab teed, mille kohta teilt küsiti. Füüsilise pordi, liidesekimbu ja silla vahel oletamine on tavaline viis koguda tühi fail.

ip -br link
dumpcap -D

Sobitage liidese nimi muudatuste kirjes oleva vaatluspunktiga, mitte nimega, mida mäletate teisest hostist. Kui pakettide arv jääb nulli, samal ajal kui teenus on nähtavalt hõivatud, asub andur valel segmendil või on peegel seadistatud teise suuna jaoks. Tõestage tee esmalt tuntud vahetusega, et katkist peeglit ei aetaks segi vaikse rakendusega. Kirjutage liidese ja peegli üksikasjad püüdmismärkmetesse seni, kuni need on veel värsked.

Piirake püüdmist filtri ja rõngaga

Piirideta püüdmine täidab ketta ja kogub rohkem, kui küsimus nõuab. Pange lubatud allikas, sihtkoht ja protokoll filtrisse, seejärel piirake faili suurust ja failide arvu.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Ülaltoodud aadress ja port on dokumentatsioonivahemiku näited, seega asendage need kinnitatud väärtustega ja hoidke aken piisavalt lühike, et tõendid ringist üle elaksid. Hetktõmbe pikkus lõikab kasulikku koormust, säilitades päised, mis on tavaliselt ühenduvusküsimuse jaoks piisav ja palju hõlpsamini salvestatav. Lugege tuuma väljajätmise rida, mille tcpdump väljumisel prindib, sest suur väljajätmiste arv tähendab, et püüdmine on puudulik, mitte vaikne. Hoidke vajalik aken alles enne, kui ring selle üle kirjutab, ja märkige filtri string failinime kõrvale.

Liigutage faili, mitte kogu lüli

Tooge valmis püüdmine halduskanali kaudu, selle asemel et peeglit üle WAN-i voogesitada. Üht ülekannet on lihtsam volitada, logida ja kustutada kui pidevat eksporti.

scp [email protected]:/var/tmp/cap.pcap ./

Hoidke fail loetav ainult operaatori kontole ja kustutage see andurilt, kui analüüsikoopia on kontrollitud. Kui reaalajas eksport on tõesti nõue, dimensioneerige peegli kapseldamine ja transport koos, sest üldkulud võivad lüli eelarve ületada. Märkige nähtavuslüngad igal juhul, sest püüdmine on tõend teadaoleva vaatluspunktiga, mitte võrgu täielik kirje.