દૂરથી પેકેટ કેપ્ચર: સેન્સર સ્થાનિક રાખો, વિશ્લેષક દૂર રાખો

પેકેટ કેપ્ચર ત્યાં જ આવે જ્યાં પેકેટ પહેલેથી વહેતા હોય, અને દૂરનો વિશ્લેષક ત્યાં ભાગ્યે જ બેસે. કામ કરી શકે તેવી ગોઠવણ નિરીક્ષિત સેગમેન્ટ પરનું સેન્સર અને એક VPN છે જે વ્યવસ્થાપન અને પુનઃપ્રાપ્તિ વહન કરે, આખી મિરર કરેલી કડી નહીં. આ વિભાજન વિશ્લેષકના લેપટોપને કેપ્ચર માર્ગની બહાર રાખે છે અને સંવેદનશીલ પેલોડ સ્થળ પર જ રાખે છે. નીચેનાં પગલાં ઇન્ટરફેસ પસંદ કરે છે, ફાઇલ મર્યાદિત કરે છે અને પ્રશ્નને જે જોઈએ તે જ ખસેડે છે.

દૂરનું લેપટોપ ટેપ નથી

VPN દ્વારા નેટવર્કમાં જોડાવાથી તમારા મશીનને સેન્સર સુધીનો માર્ગ મળે છે, બીજા હોસ્ટ વચ્ચેના ટ્રાફિકની દૃશ્યતા નહીં. તમારા લેપટોપ પર લીધેલું કેપ્ચર ફક્ત તમારા લેપટોપના ઇન્ટરફેસ પર પહોંચાડેલા પેકેટ જુએ છે. સ્વિચ કરેલી કડી જોવા માટે નેટવર્ક માલિકે મિરર અથવા ટેપ આપવું પડે જે સ્થળ પરના સેન્સરને ખવડાવે. તોય મિરરની મર્યાદા હોય છે, કારણ કે વધુ ભારણવાળા લક્ષ્યો ફ્રેમ છોડી દે છે અને ગેટવે એ જ VLAN ની અંદર રહેતો ટ્રાફિક કદી જોતો નથી.

એન્ક્રિપ્ટેડ પ્રવાહ પણ સેન્સર પર એન્ક્રિપ્ટેડ જ રહે છે, કારણ કે TLS પેલોડ છેડાઓનું છે. કેપ્ચર હેડર, સમય અને પ્રમાણ આપે છે, સાદો ટેક્સ્ટ નહીં.

પ્રવાહ જોઈ શકે તે ઇન્ટરફેસ પસંદ કરો

કંઈ પણ ફિલ્ટર કરતા પહેલાં ઇન્ટરફેસની યાદી બનાવો અને ખાતરી કરો કે કયું તમને પૂછાયેલો માર્ગ વહન કરે છે. ભૌતિક પોર્ટ, બોન્ડ અને બ્રિજ વચ્ચે અનુમાન કરવું ખાલી ફાઇલ એકઠી કરવાની સામાન્ય રીત છે.

ip -br link
dumpcap -D

ઇન્ટરફેસનું નામ ફેરફાર રેકોર્ડમાંના નિરીક્ષણ બિંદુ સાથે મેળવો, બીજા હોસ્ટથી યાદ રહેલા નામ સાથે નહીં. જો સેવા સ્પષ્ટ રીતે વ્યસ્ત હોય ત્યારે પેકેટની ગણતરી શૂન્ય રહે, તો સેન્સર ખોટા સેગમેન્ટ પર છે અથવા મિરર બીજી દિશા માટે ગોઠવાયેલું છે. પહેલાં જાણીતા વિનિમયથી માર્ગ સાબિત કરો, જેથી તૂટેલા મિરરને શાંત એપ્લિકેશન ગણી ન લેવાય. ઇન્ટરફેસ અને મિરરની વિગતો કેપ્ચર નોંધમાં લખો જ્યારે તે હજી તાજી હોય.

ફિલ્ટર અને રિંગથી કેપ્ચર મર્યાદિત કરો

મર્યાદા વગરનું કેપ્ચર ડિસ્ક ભરે છે અને પ્રશ્નની જરૂર કરતાં વધુ એકઠું કરે છે. મંજૂર સ્રોત, લક્ષ્ય અને પ્રોટોકોલ ફિલ્ટરમાં મૂકો, પછી ફાઇલનું કદ અને ફાઇલોની સંખ્યા મર્યાદિત કરો.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

ઉપરનું સરનામું અને પોર્ટ દસ્તાવેજીકરણ શ્રેણીના ઉદાહરણો છે, તેથી મંજૂર મૂલ્યો મૂકો અને વિન્ડો પૂરતી ટૂંકી રાખો જેથી પુરાવા રિંગમાંથી બચી જાય. સ્નેપશોટ લંબાઈ હેડર રાખીને પેલોડ કાપે છે, જે સામાન્ય રીતે કનેક્ટિવિટી પ્રશ્ન માટે પૂરતું છે અને સંગ્રહ કરવું ઘણું સરળ છે. tcpdump બહાર નીકળતી વખતે છાપતી કર્નલ ડ્રોપ લાઇન વાંચો, કારણ કે વધુ ડ્રોપ એટલે કેપ્ચર અધૂરું છે, શાંત નહીં. રિંગ તેના પર લખે તે પહેલાં જરૂરી વિન્ડો સાચવો અને ફાઇલના નામ પાસે ફિલ્ટર શબ્દમાળા નોંધો.

આખી કડી નહીં, ફાઇલ ખસેડો

WAN પર મિરર સ્ટ્રીમ કરવાને બદલે સંચાલન ચેનલ પરથી પૂર્ણ થયેલું કેપ્ચર લાવો. એક સ્થાનાંતરણ સતત નિકાસ કરતાં અધિકૃત કરવું, લોગ કરવું અને ડિલીટ કરવું સરળ છે.

scp [email protected]:/var/tmp/cap.pcap ./

ફાઇલને ફક્ત ઓપરેટર ખાતા માટે વાંચી શકાય તેમ રાખો, અને વિશ્લેષણ નકલ ચકાસાયા પછી તેને સેન્સર પરથી ડિલીટ કરો. જો જીવંત નિકાસ ખરેખર જરૂર હોય, તો મિરર એન્કેપ્સ્યુલેશન અને પરિવહન સાથે માપો, કારણ કે વધારાનો ભાર લિંક બજેટ કરતાં વધી શકે. દૃશ્યતાના અંતર કોઈપણ રીતે નોંધો, કારણ કે કેપ્ચર જાણીતા નિરીક્ષણ બિંદુ સાથેનો પુરાવો છે, નેટવર્કનો સંપૂર્ણ રેકોર્ડ નહીં.