Urruneko pakete-kaptura: sentsorea tokian, analista urrun

Paketeen kaptura paketeak jada isurtzen diren tokian dagokio, eta urruneko analista gutxitan egoten da han. Eginbideko antolamendua behatutako segmentuan dagoen sentsore bat gehi administrazioa eta berreskurapena daramatzan VPN bat da, ez islatutako esteka osoa. Banaketa horrek analistaren ordenagailu eramangarria kaptura-bidetik kanpo uzten du eta karga sentikorrak tokian bertan gordetzen ditu. Beheko urratsek interfazea aukeratzen dute, fitxategia mugatzen dute eta galderak behar duena soilik mugitzen dute.

Urruneko ordenagailu eramangarria ez da tap bat

Sarearekin VPN bidez bat egiteak zure makinari sentsorerainoko bidea ematen dio, ez beste ostalarien arteko trafikoaren ikusgaitasuna. Zure ordenagailu eramangarrian egindako kapturak zure ordenagailuaren interfazera entregatutako paketeak soilik ikusten ditu. Kommutatutako esteka bat behatzeko, sarearen jabeari tokiko sentsore bat elikatzen duen ispilu edo tap bat eman behar dio. Hala ere ispiluak mugak ditu, gainkargatutako helburuek markoak botatzen dituztelako eta pasabideak ez duelako inoiz VLAN berean geratzen den trafikoa ikusten.

Zifratutako jarioa ere zifratuta geratzen da sentsorean, TLS karga muturrena baita. Kapturak goiburuak, denbora eta bolumena ematen ditu, ez testu arrunta.

Aukeratu jarioa ikus dezakeen interfazea

Ezer iragazi aurretik, zerrendatu interfazeak eta egiaztatu zeinek daraman galdetu zizuten bidea. Ataka fisiko, elkarketa eta zubiaren artean asmatzea fitxategi hutsa biltzeko modu ohikoa da.

ip -br link
dumpcap -D

Lotu interfazearen izena aldaketen erregistroko behaketa-puntuarekin, ez beste ostalari batetik gogoratzen duzun izen batekin. Paketeen kontagailua zeroan geratzen bada zerbitzua nabarmen lanean dagoen bitartean, sentsorea segmentu okerrean dago edo ispilua beste norabiderako konfiguratuta dago. Frogatu bidea lehenago truke ezagun batekin, ispilu hautsi bat aplikazio isil batekin nahas ez dadin. Idatzi interfazearen eta ispiluaren xehetasunak kaptura-oharretan oraindik fresko daudenean.

Mugatu kaptura iragazki eta eraztun batekin

Mugarik gabeko kapturak diskoa betetzen du eta galderak eskatzen duena baino gehiago biltzen du. Jarri baimendutako iturria, helburua eta protokoloa iragazkian, eta gero mugatu fitxategiaren tamaina eta fitxategi kopurua.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Goiko helbidea eta ataka dokumentazio-tarteko adibideak dira, beraz ordezkatu onartutako balioekin eta eutsi leihoa nahikoa labur frogak eraztunetik iraun dezan. Kapturaren luzerak karga mozten du goiburuak gordez, eta hori normalean nahikoa da konektibitate-galdera baterako eta askoz errazago gordetzen da. Irakurri tcpdump-ek irtetean inprimatzen duen kernel-en jaurtiketa-lerroa, jaurtiketa-kopuru handiak kaptura osatugabea dela esan nahi duelako, ez isila. Gorde behar duzun leihoa eraztunak gainidatzi aurretik, eta idatzi iragazki-katea fitxategi-izenaren ondoan.

Mugitu fitxategia, ez esteka osoa

Berreskuratu amaitutako kaptura kudeaketa-kanaletik, ispilua WAN bidez transmititu beharrean. Transferentzia bakarra errazago baimendu, erregistratu eta ezabatzen da etengabeko esportazioa baino.

scp [email protected]:/var/tmp/cap.pcap ./

Eduki fitxategia operadore-kontuarentzat bakarrik irakurgarri, eta ezabatu sentsoretik analisi-kopia egiaztatu ondoren. Benetan esportazio bizia beharrezkoa bada, dimentsionatu ispiluaren kapsulatzea eta garraioa elkarrekin, gainkarga estekaren aurrekontua gaindi baitezake. Erregistratu ikusgaitasun-hutsuneak nolanahi ere, kaptura behaketa-puntu ezaguneko froga baita, ez sarearen erregistro osoa.