Etäpakettikaappaus: anturi pysyy paikallaan, analyytikko työskentelee etänä

Pakettikaappaus kuuluu sinne, missä paketit jo virtaavat, ja etäanalyytikko istuu harvoin siellä. Toimiva järjestely on anturi havainnoidussa segmentissä sekä VPN, joka kuljettaa hallintaa ja noutoa, ei koko peilattua linkkiä. Tämä jako pitää analyytikon kannettavan kaappauspolun ulkopuolella ja pitää arkaluontoiset hyötykuormat paikan päällä. Alla olevat vaiheet valitsevat liitännän, rajaavat tiedoston ja siirtävät vain sen, mitä kysymys tarvitsee.

Etäkannettava ei ole kaappauspiste

Verkkoon liittyminen VPN:n kautta antaa koneellesi reitin anturille, ei näkyvyyttä muiden isäntien väliseen liikenteeseen. Kannettavallasi otettu kaappaus näkee vain paketit, jotka toimitetaan kannettavasi liitännälle. Kytketyn linkin tarkkailu edellyttää, että verkon omistaja tarjoaa peilin tai haaran, joka syöttää paikallista anturia. Silloinkin peilillä on rajansa, koska ylikuormitetut kohteet pudottavat kehyksiä eikä yhdyskäytävä koskaan näe liikennettä, joka pysyy saman VLAN:n sisällä.

Salattu virta pysyy salattuna myös anturilla, koska TLS-hyötykuorma kuuluu päätepisteille. Kaappaus antaa otsikot, ajoituksen ja määrän, ei selkokielistä tekstiä.

Valitse liitäntä, joka näkee virran

Ennen kuin suodatat mitään, luettele liitännät ja varmista, mikä niistä kuljettaa kysytyn polun. Fyysisen portin, liitoksen ja sillan välillä arvaaminen on tavallinen tapa kerätä tyhjä tiedosto.

ip -br link
dumpcap -D

Sovita liitännän nimi muutoskirjauksen havaintopisteeseen, älä nimeen, jonka muistat toisesta isännästä. Jos pakettimäärä pysyy nollassa palvelun ollessa näkyvästi kiireinen, anturi on väärässä segmentissä tai peili on määritetty toiseen suuntaan. Todista polku ensin tunnetulla vaihdolla, jotta rikkinäinen peili ei mene hiljaisen sovelluksen nimiin. Kirjoita liitännän ja peilin tiedot kaappausmuistiinpanoihin, kun ne ovat vielä tuoreita.

Rajaa kaappaus suodattimella ja renkaalla

Rajaamaton kaappaus täyttää levyn ja kerää enemmän kuin kysymys vaatii. Laita sallittu lähde, kohde ja protokolla suodattimeen ja rajaa sitten tiedostokoko ja tiedostojen määrä.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Yllä oleva osoite ja portti ovat esimerkkejä dokumentaatioalueelta, joten korvaa ne hyväksytyillä arvoilla ja pidä ikkuna tarpeeksi lyhyenä, jotta todisteet säilyvät renkaan yli. Tilannekuvan pituus katkaisee hyötykuorman ja säilyttää otsikot, mikä yleensä riittää yhteyttä koskevaan kysymykseen ja on paljon helpompi tallentaa. Lue ytimen pudotus-rivi, jonka tcpdump tulostaa lopettaessa, koska suuri pudotusmäärä tarkoittaa, että kaappaus on puutteellinen eikä hiljainen. Säilytä tarvitsemasi ikkuna ennen kuin rengas kirjoittaa sen yli, ja kirjaa suodatinmerkkijono tiedostonimen viereen.

Siirrä tiedosto, älä koko linkkiä

Nouda valmis kaappaus hallintakanavan kautta sen sijaan, että striimaisit peilin WAN:n yli. Yksi siirto on helpompi valtuuttaa, kirjata ja poistaa kuin jatkuva vienti.

scp [email protected]:/var/tmp/cap.pcap ./

Pidä tiedosto luettavana vain operaattoritilille ja poista se anturilta, kun analyysikopio on varmennettu. Jos reaaliaikainen vienti todella on vaatimus, mitoita peilin kapselointi ja kuljetus yhdessä, koska ylimääräinen kuorma voi ylittää linkin budjetin. Kirjaa näkyvyysaukot joka tapauksessa, sillä kaappaus on todiste tunnetulla havaintopisteellä, ei täydellinen tallenne verkosta.