לכידת מנות מרחוק: החיישן נשאר מקומי, האנליסט עובד מרחוק

לכידת מנות שייכת למקום שבו המנות כבר זורמות, והאנליסט המרוחק כמעט ולא יושב שם. הסידור הישים הוא חיישן על הקטע הנצפה ועוד VPN שנושא ניהול ואחזור, לא את כל הקישור המשוכפל. ההפרדה הזו משאירה את המחשב הנייד של האנליסט מחוץ לנתיב הלכידה ושומרת על מטענים רגישים במקום. השלבים שלהלן בוחרים את הממשק, מגבילים את הקובץ ומעבירים רק את מה שהשאלה דורשת.

מחשב נייד מרוחק אינו נקודת לכידה

הצטרפות לרשת דרך VPN נותנת למחשב שלכם נתיב אל החיישן, לא ראות לתעבורה בין מארחים אחרים. לכידה שנלקחת במחשב הנייד שלכם רואה רק מנות שנמסרות לממשק של המחשב הנייד. צפייה בקישור מיתוג דורשת שבעל הרשת יספק מראה או נקודת לכידה שמזינה חיישן במקום. גם אז למראה יש גבולות, מפני שיעדים עמוסים מדי משליכים פריימים ושער לעולם לא רואה תעבורה שנשארת בתוך אותה VLAN.

זרם מוצפן נשאר מוצפן גם בחיישן, שכן מטען TLS שייך לנקודות הקצה. לכידה מספקת כותרות, תזמון ונפח, לא טקסט גלוי.

בחרו את הממשק שיכול לראות את הזרם

לפני שמסננים משהו, רשמו את הממשקים ואמתו איזה מהם נושא את הנתיב שעליו נשאלתם. ניחוש בין פורט פיזי, איגוד וגשר הוא דרך נפוצה לאסוף קובץ ריק.

ip -br link
dumpcap -D

התאימו את שם הממשק לנקודת התצפית ברשומת השינוי, לא לשם שאתם זוכרים ממארח אחר. אם ספירת המנות נשארת באפס בזמן שהשירות עסוק בבירור, החיישן יושב על הקטע הלא נכון או שהמראה מוגדרת לכיוון האחר. הוכיחו תחילה את הנתיב בחילופין מוכרים, כדי שמראה שבורה לא תיחשב ליישום שקט. כתבו את פרטי הממשק והמראה בהערות הלכידה כשהם עדיין טריים.

הגבילו את הלכידה במסנן ובטבעת

לכידה בלי גבולות ממלאת את הדיסק ואוספת יותר ממה שהשאלה דורשת. הכניסו את המקור, היעד והפרוטוקול המותרים למסנן, ואז הגבילו את גודל הקובץ ואת מספר הקבצים.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

הכתובת והפורט שלמעלה הם דוגמאות מטווח התיעוד, לכן החליפו אותם בערכים המאושרים ושמרו על חלון קצר מספיק כדי שהראיות ישרדו את הטבעת. אורך התצלום מקצר את המטען ושומר על הכותרות, וזה בדרך כלל מספיק לשאלת קישוריות והרבה יותר קל לאחסון. קראו את שורת ההשלכה של הגרעין שמודפסת ב-tcpdump ביציאה, מפני שמספר השלכות גבוה אומר שהלכידה אינה שלמה ולא שקטה. שמרו את החלון שאתם צריכים לפני שהטבעת תדרוס אותו, ורשמו את מחרוזת המסנן ליד שם הקובץ.

העבירו את הקובץ, לא את כל הקישור

אחזרו את הלכידה המוגמרת בערוץ הניהול במקום להזרים את המראה על פני ה-WAN. העברה אחת קלה יותר לאישור, לתיעוד ולמחיקה מייצוא מתמשך.

scp [email protected]:/var/tmp/cap.pcap ./

השאירו את הקובץ קריא רק לחשבון המפעיל, ומחקו אותו מהחיישן לאחר שהעותק לניתוח אומת. אם ייצוא חי הוא באמת הדרישה, תכננו את עטיפת המראה ואת התעבורה יחד, מפני שהתקורה עלולה לעלות על תקציב הקישור. תעדו את פערי הראות בכל מקרה, מפני שלכידה היא ראיה עם נקודת תצפית ידועה ולא תיעוד מלא של הרשת.