Ien stream, fjouwer grinzen: it lêste pakket fine

De iene kant seit dat er it ferkear ferstjoerd hat; de oare kant seit dat it nearne oankaam. Dat pear útspraken klinkt as in tsjinspraak en is meastentiids gewoan twa ferskillende mjittingen. In pakkettelling, in firewall-log en in opname beskriuwe ferskillende lagen, en se sûnder labels ferlykje jout in fertochte yn stee fan in lokaasje. Bou it rapport om ien stream en syn waarnimmingspunten hinne.

In teller sûnder kontekst bewiist weinig

In gateway dy’t útgongende bytes rapportearret is gjin bewiis dat de fiere ein in spesifyk fersyk ûntfongen hat. De teller kin oare streams, oare tiden of in oare laach fan ynkapseling befetsje. In teller dy’t stiget wylst de bestimming neat sjocht, kin dochs korrekt wêze, om’t er in oare fraach metten hat. Fêstigje foar it ferlykjen fan wat dan ek de stream, it finster en de laach.

Twa nûmers út ferskillende lagen kinne earlik fan miening ferskille. It ferskil is it begjin fan it ûndersyk, net de konklúzje.

Labelje elk waarnimmingspunt

Registrearje foar elke waarnimming it apparaat, de ynterface of heak, de rjochting, de klokreferinsje en oft it binnenferkear of it bûtenferfier toant. In firewall-log op ’e host en in opname op ’e uplink binne ferskillende bewiizen, sels as se sekonden útinoar lizze. It label is wat in oare yngenieur de bylden reprodusearje lit.

Hâld it klokprobleem sichtber. Klokken driuwe, en in tiidstempel fan ien host is miskien net direkt ferlykber mei ien fan in oare. As de hosts net syngronisearre wurde kinne, omklamje dan de poging mei tiidstempels fan beide en brûk de folchoarder yn stee fan de absolute wearde. Notearje de mjitten ôfwiking yn stee fan de tiden stil oan te passen.

Bring de fjilden yn oerien dy’t it punt echt bleatleit

Ferlykje adressen en protokolfjilden op punten dy’t se echt bleatlege. Hâld rekken mei bewuste oersetting, want in oerskreaun tuple is noch altyd itselde petear. Foar in autorisearre IPv4 Echo-test jout de RFC 792-definysje identifikaasje- en folchoarderfjilden dy’t helpe om fersiken en antwurden te keppeljen. Hâld ek de adressen en it finster, want in folchoarderwearde allinnich is gjin unike identiteit.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Wêr’t de bûtenste skonk fersifere is, hâld it petear mei de peer en syn rjochting yn in apart rekord. Der wurdt net ferwachte dat de binnenste Echo-identifikaasje bûten yn deselde foarm oerlibbet. Bûtenste en binnenste tellings meie net ferlike wurde sûnder de foarstelling te neamen.

Rapportearje it ûntbrekkende ynterval, net in fertochte

In ûntbrekkende waarnimming is beheind bewiis, net bewiis fan in fal by dat apparaat. Filters, it pleatsen fan ’e opname, ferlern opnamedata en in finster dat de poging miste, jouwe allegear in ûnfolslein rekord. Sis wat ûntbrekt en tusken hokker grinzen. In ôfwêzigens hat ek in ferfaldatum nedich, dus neam hoefier’t jo waarnommen hawwe en wat ferskine moatten hie.

De bewearing fan ’e oare kant dat er ferkear trochstjoerd hat, is kontekst, nea in waarnimming. Oerhandigje de stream, de tiidstempels, de labelde grinzen en ien smel foarbyld. Hâld it rapport koart genôch dat de frege waarnimming opfalt. Dat makket it folgjende fersyk in krekte mjitting yn stee fan in beskuldiging.

Set de frege mjitting yn ien sin. Stop dan mei skriuwen.