Captura remota de paquetes: o sensor queda local e o analista traballa en remoto

A captura de paquetes pertence onde os paquetes xa flúen, e o analista remoto raramente está alí. A disposición viable é un sensor no segmento observado máis unha VPN que transporta administración e recuperación, non toda a ligazón espellada. Esa separación mantén o portátil do analista fóra da ruta de captura e conserva as cargas sensibles no lugar. Os pasos seguintes elixen a interface, acoutan o ficheiro e moven só o que a pregunta necesita.

Un portátil remoto non é un tap

Unirse á rede por VPN dá á túa máquina unha ruta cara ao sensor, non visibilidade do tráfico entre outros equipos. Unha captura tomada no teu portátil só ve paquetes entregados á interface do teu portátil. Observar unha ligazón conmutada esixe que o propietario da rede proporcione un espello ou un punto de captura que alimente un sensor no lugar. Aínda así o espello ten límites, porque os destinos sobrecargados descartan tramas e unha pasarela nunca ve o tráfico que queda dentro da mesma VLAN.

Un fluxo cifrado tamén segue cifrado no sensor, xa que a carga TLS pertence aos extremos. A captura entrega cabeceiras, tempos e volume, non texto claro.

Elixe a interface que pode ver o fluxo

Antes de filtrar nada, lista as interfaces e confirma cal transporta a ruta pola que che preguntaron. Adiviñar entre un porto físico, unha agregación e unha ponte é unha forma habitual de recoller un ficheiro baleiro.

ip -br link
dumpcap -D

Fai coincidir o nome da interface co punto de observación do rexistro de cambios, non cun nome que recordes doutro equipo. Se o reconto de paquetes segue en cero mentres o servizo está visiblemente ocupado, o sensor está no segmento equivocado ou o espello está configurado para a outra dirección. Demostra primeiro a ruta cun intercambio coñecido, para que un espello roto non se confunda cunha aplicación silenciosa. Escribe os detalles da interface e do espello nas notas de captura mentres aínda están frescos.

Acouta a captura cun filtro e un anel

Unha captura sen límites enche o disco e recolle máis do que esixe a pregunta. Pon a orixe, o destino e o protocolo permitidos no filtro, e despois acouta o tamaño do ficheiro e o número de ficheiros.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

O enderezo e o porto anteriores son exemplos do rango de documentación, así que substitúe os valores aprobados e mantén a xanela o suficientemente curta para que a evidencia sobreviva ao anel. A lonxitude de instantánea recorta a carga e conserva as cabeceiras, o que adoita abondar para unha pregunta de conectividade e é moito máis doado de almacenar. Le a liña de descarte do núcleo que tcpdump imprime ao saír, porque un reconto alto de descartes significa que a captura está incompleta e non silenciosa. Conserva a xanela que necesitas antes de que o anel a sobrescriba e anota a cadea de filtro xunto ao nome do ficheiro.

Move o ficheiro, non toda a ligazón

Recupera a captura rematada pola canle de xestión en lugar de transmitir o espello pola WAN. Unha soa transferencia é máis doada de autorizar, rexistrar e borrar que unha exportación continua.

scp [email protected]:/var/tmp/cap.pcap ./

Mantén o ficheiro lexible só pola conta de operador e bórrao do sensor cando a copia de análise estea verificada. Se a exportación en vivo é de verdade o requisito, dimensiona a encapsulación do espello e o transporte xuntos, porque a sobrecarga pode superar o orzamento da ligazón. Anota as lagoas de visibilidade en calquera caso, xa que unha captura é unha proba cun punto de observación coñecido e non un rexistro completo da rede.