Pakketopname op ôfstân: hâld de sensor lokaal, de analist op ôfstân

Pakketopname heart dêr't de pakketten al streame, en de analist op ôfstân sit dêr selden. De wurkbere regeling is in sensor op it waarnommen segmint plus in VPN dy't behear en ophellen draacht, net de hiele spegele skeakel. Dy splitsing hâldt de laptop fan de analist bûten it opnamepaad en hâldt gefoelige ladingen op it plak. De stappen hjirûnder kieze de ynterface, beheine it bestân en ferpleatse allinnich wat de fraach nedich hat.

In laptop op ôfstân is gjin tap

Oanmelde by it netwurk fia VPN jout jo masine in rûte nei de sensor, net sichtberens yn ferkear tusken oare hosts. In opname op jo laptop sjocht allinnich pakketten dy't by de ynterface fan jo laptop ôflevere wurde. It besjen fan in skeakele skeakel freget dat de netwurkseigner in spegel of in tap leveret dy't in sensor op it plak fiedt. Sels dan hat de spegel grinzen, want oerbelêste bestimmings smite frames fuort en in gateway sjocht nea ferkear dat binnen deselde VLAN bliuwt.

In fersifere stream bliuwt ek by de sensor fersifere, om't de TLS-lading by de einpunten heart. Opname jout headers, timing en volume, net platte tekst.

Kies de ynterface dy't de stream sjen kin

Foar't jo wat filterje, listje jo de ynterfaces op en befêstigje hokker it paad draacht dêr't jo nei frege binne. Rieden tusken in fysike poarte, in bond en in brêge is in gewoane wize om in leech bestân te sammeljen.

ip -br link
dumpcap -D

Koppelje de ynterfacenamme oan it waarnimmingspunt yn it feroaringsrecord, net oan in namme dy't jo fan in oare host ûnthâlde. As de pakkettelling op nul bliuwt wylst de tsjinst sichtber drok is, sit de sensor op it ferkearde segmint of is de spegel foar de oare rjochting konfigurearre. Bewiis it paad earst mei in bekende útwikseling, sadat in brutsen spegel net foar in stille applikaasje oansjoen wurdt. Skriuw de details fan ynterface en spegel yn de opname-notysjes wylst se noch farsk binne.

Behein de opname mei in filter en in ring

In opname sûnder grinzen folt it skiif en sammelt mear as de fraach freget. Set de tastiene boarne, bestimmingsplak en protokol yn it filter, en behein dan de bestânsgrutte en it oantal bestannen.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

It adres en de poarte hjirboppe binne foarbylden út it dokumintearringsberik, ferfange se dus troch de goedkarde wearden en hâld it finster koart genôch dat de bewiisstikken de ring oerlibje. De snapshotlingte snijt de lading ôf en hâldt de headers, wat meast genôch is foar in ferbiningsfraach en folle makliker op te slaan. Lês de kernel-dropregel dy't tcpdump by it ôfsluten printsje, want in heech drop-oantal betsjut dat de opname ûnfolslein is en net stil. Bewarje it finster dat jo nedich hawwe foar't de ring it oerskriuwt, en notearje de filterstring njonken de bestânsnamme.

Ferpleats it bestân, net de hiele skeakel

Helje de klear opname oer it behearkanaal ynstee fan de spegel oer de WAN te streamen. Ien oerdracht is makliker te autorisearjen, te loggen en te wiskjen as in trochgeande eksport.

scp [email protected]:/var/tmp/cap.pcap ./

Hâld it bestân allinnich lêsber foar it operatorakkount, en wiskje it fan de sensor sadree't de analyzekopy ferifiearre is. As live-eksport wier de eask is, mjit dan de spegel-ynkapseling en it transport tegearre, want de oerhead kin it skeakelbudzjet oergean. Notearje de sichtberensgatten hoe dan ek, want in opname is bewiis mei in bekend waarnimmingspunt en net in folslein record fan it netwurk.