ضبط بسته از راه دور: حسگر در محل بماند، تحلیلگر دور بماند
ضبط را روی حسگری که ترافیک را می‌بیند اجرا کنید و از شبکه خصوصی مجازی فقط برای مدیریت آن استفاده کنید. پیش از شروع، صافی، اندازه پرونده و مدت نگهداری را محدود کنید.
ضبط بسته به جایی تعلق دارد که بسته‌ها از پیش جریان دارند، و تحلیلگر دور به‌ندرت آنجا می‌نشیند. چیدمان کارآمد یک حسگر روی بخش مشاهده‌شده به‌همراه یک شبکه خصوصی مجازی است که مدیریت و واکشی را حمل می‌کند، نه کل پیوند آینه‌شده. این تفکیک لپ‌تاپ تحلیلگر را از مسیر ضبط بیرون نگه می‌دارد و محتواهای حساس را در محل حفظ می‌کند. گام‌های زیر واسط را انتخاب می‌کنند، پرونده را محدود می‌کنند و فقط چیزی را جابه‌جا می‌کنند که پرسش به آن نیاز دارد.
لپ‌تاپ دور نقطه ضبط نیست
پیوستن به شبکه از طریق شبکه خصوصی مجازی به دستگاه شما مسیری به حسگر می‌دهد، نه دیدی به ترافیک میان میزبان‌های دیگر. ضبطی که روی لپ‌تاپ شما گرفته می‌شود فقط بسته‌های تحویل‌شده به واسط لپ‌تاپ شما را می‌بیند. مشاهده یک پیوند سوئیچ‌شده نیاز دارد که مالک شبکه آینه یا نقطه‌ای فراهم کند که حسگری در محل را تغذیه کند. حتی آن‌گاه آینه محدودیت دارد، زیرا مقصدهای بیش‌بار چارچوب‌ها را می‌ریزند و دروازه هرگز ترافیکی را که درون همان شبکه محلی مجازی می‌ماند نمی‌بیند.
جریان رمز‌شده نیز در حسگر رمز‌شده می‌ماند، چون بار TLS از آن نقاط پایانی است. ضبط سرآیندها، زمان‌بندی و حجم می‌دهد، نه متن روشن.
واسطی را انتخاب کنید که جریان را می‌بیند
پیش از صافی کردن هر چیزی، واسط‌ها را فهرست کنید و تأیید کنید کدام یک مسیری را که درباره‌اش پرسیده‌اند حمل می‌کند. حدس زدن میان درگاه فیزیکی، پیوند تجمیعی و پل راه رایجی برای گردآوری پرونده خالی است.
ip -br link
dumpcap -Dنام واسط را با نقطه مشاهده در سابقه تغییر تطبیق دهید، نه با نامی که از میزبان دیگری به یاد دارید. اگر شمار بسته‌ها صفر بماند در حالی که سرویس آشکارا مشغول است، حسگر روی بخش اشتباه است یا آینه برای جهت دیگر پیکربندی شده است. نخست مسیر را با یک تبادل شناخته‌شده اثبات کنید تا آینه خراب با برنامه‌ای ساکت اشتباه گرفته نشود. جزئیات واسط و آینه را تا هنوز تازه‌اند در یادداشت‌های ضبط بنویسید.
ضبط را با صافی و حلقه محدود کنید
ضبط بی‌مرز دیسک را پر می‌کند و بیش از نیاز پرسش گرد می‌آورد. منبع، مقصد و پروتکل مجاز را در صافی بگذارید، سپس اندازه پرونده و شمار پرونده‌ها را محدود کنید.
tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'نشانی و درگاه بالا نمونه‌هایی از گستره مستندات هستند، پس آن‌ها را با مقادیر تأییدشده جایگزین کنید و پنجره را به‌قدری کوتاه نگه دارید که شواهد از حلقه جان سالم به در ببرد. طول تصویر لحظه‌ای بار را می‌برد و سرآیندها را نگه می‌دارد، که معمولاً برای پرسش اتصال کافی است و ذخیره‌اش بسیار آسان‌تر. خط ریزش هسته را که tcpdump هنگام خروج چاپ می‌کند بخوانید، زیرا شمار بالای ریزش یعنی ضبط ناقص است نه ساکت. پنجره‌ای را که لازم دارید پیش از آن‌که حلقه رویش بنویسد حفظ کنید و رشته صافی را کنار نام پرونده ثبت کنید.
پرونده را جابه‌جا کنید، نه کل پیوند را
ضبط تمام‌شده را از کانال مدیریت بگیرید، نه با پخش آینه روی شبکه گسترده. یک انتقال را آسان‌تر می‌توان مجاز کرد، ثبت کرد و حذف کرد تا یک صدور پیوسته.
scp [email protected]:/var/tmp/cap.pcap ./پرونده را فقط برای حساب اپراتور خواندنی نگه دارید و پس از تأیید نسخه تحلیل، آن را از حسگر حذف کنید. اگر صدور زنده واقعاً نیاز است، کپسوله‌سازی آینه و انتقال را با هم اندازه بگیرید، زیرا سرباری می‌تواند از بودجه پیوند فراتر رود. شکاف‌های دید را در هر حال ثبت کنید، زیرا ضبط شواهدی با نقطه مشاهده شناخته‌شده است نه سابقه کامل شبکه.