दूरस्थ पैकेट कैप्चर: सेंसर स्थानीय रखें, विश्लेषक दूर

पैकेट कैप्चर वहीं का है जहाँ पैकेट पहले से बहते हैं, और दूरस्थ विश्लेषक वहाँ कभी-कभी ही बैठता है। काम करने योग्य व्यवस्था है निगरानी किए गए खंड पर एक सेंसर और एक VPN जो प्रशासन और पुनर्प्राप्ति ढोता है, न कि पूरा मिरर किया गया लिंक। यह विभाजन विश्लेषक के लैपटॉप को कैप्चर पथ से बाहर रखता है और संवेदनशील पेलोड को साइट पर रखता है। नीचे दिए चरण इंटरफ़ेस चुनते हैं, फ़ाइल सीमित करते हैं और केवल वही स्थानांतरित करते हैं जो प्रश्न को चाहिए।

दूर का लैपटॉप टैप नहीं है

VPN से नेटवर्क से जुड़ने पर आपकी मशीन को सेंसर तक मार्ग मिलता है, अन्य होस्टों के बीच के ट्रैफ़िक की दृश्यता नहीं। आपके लैपटॉप पर लिया गया कैप्चर केवल वही पैकेट देखता है जो आपके लैपटॉप के इंटरफ़ेस तक पहुँचाए जाते हैं। स्विच किए गए लिंक को देखने के लिए नेटवर्क स्वामी को मिरर या टैप देना होता है जो साइट के सेंसर को खिलाता है। तब भी मिरर की सीमाएँ होती हैं, क्योंकि अधिभारित गंतव्य फ़्रेम गिरा देते हैं और गेटवे उस ट्रैफ़िक को कभी नहीं देखता जो उसी VLAN के भीतर रहता है।

एन्क्रिप्टेड स्ट्रीम सेंसर पर भी एन्क्रिप्टेड रहती है, क्योंकि TLS पेलोड सिरों का है। कैप्चर हेडर, समय और आयतन देता है, सादा पाठ नहीं।

वह इंटरफ़ेस चुनें जो प्रवाह देख सके

कुछ भी फ़िल्टर करने से पहले इंटरफ़ेस की सूची बनाएँ और पुष्टि करें कि कौन सा आपसे पूछा गया पथ ढोता है। भौतिक पोर्ट, बॉन्ड और ब्रिज के बीच अनुमान लगाना खाली फ़ाइल इकट्ठा करने का आम तरीका है।

ip -br link
dumpcap -D

इंटरफ़ेस का नाम परिवर्तन रिकॉर्ड में निगरानी बिंदु से मिलाएँ, किसी दूसरे होस्ट से याद रहे नाम से नहीं। यदि सेवा स्पष्ट रूप से व्यस्त होते हुए भी पैकेट की गिनती शून्य रहती है, तो सेंसर गलत खंड पर है या मिरर दूसरी दिशा के लिए सेट है। पहले किसी ज्ञात अदला-बदली से पथ सिद्ध करें, ताकि टूटे मिरर को शांत अनुप्रयोग न समझा जाए। इंटरफ़ेस और मिरर का विवरण कैप्चर नोट में लिखें जब तक वे ताज़ा हैं।

फ़िल्टर और रिंग से कैप्चर सीमित करें

बिना सीमा का कैप्चर डिस्क भर देता है और प्रश्न की आवश्यकता से अधिक इकट्ठा करता है। अनुमत स्रोत, गंतव्य और प्रोटोकॉल फ़िल्टर में रखें, फिर फ़ाइल का आकार और फ़ाइलों की संख्या सीमित करें।

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

ऊपर का पता और पोर्ट दस्तावेज़ीकरण श्रेणी के उदाहरण हैं, इसलिए अनुमोदित मान रखें और विंडो इतनी छोटी रखें कि साक्ष्य रिंग से बच जाए। स्नैपशॉट लंबाई हेडर रखते हुए पेलोड काटती है, जो आमतौर पर कनेक्टिविटी प्रश्न के लिए पर्याप्त है और संग्रह करना बहुत आसान है। tcpdump द्वारा बाहर निकलते समय छापी गई कर्नेल ड्रॉप पंक्ति पढ़ें, क्योंकि अधिक ड्रॉप का अर्थ है कि कैप्चर अधूरा है, शांत नहीं। रिंग द्वारा अधिलेखित करने से पहले आवश्यक विंडो सुरक्षित रखें और फ़ाइल नाम के पास फ़िल्टर स्ट्रिंग लिखें।

पूरा लिंक नहीं, फ़ाइल ले जाएँ

पूरा हुआ कैप्चर प्रबंधन चैनल से लाएँ, मिरर को WAN पर स्ट्रीम करने के बजाय। एक स्थानांतरण को अधिकृत करना, लॉग करना और हटाना निरंतर निर्यात से आसान है।

scp [email protected]:/var/tmp/cap.pcap ./

फ़ाइल को केवल ऑपरेटर खाते के लिए पठनीय रखें, और विश्लेषण प्रति सत्यापित होने पर उसे सेंसर से हटा दें। यदि लाइव निर्यात वास्तव में आवश्यकता है, तो मिरर एनकैप्सुलेशन और परिवहन को साथ मापें, क्योंकि अतिरिक्त भार लिंक बजट से अधिक हो सकता है। दृश्यता के अंतराल किसी भी हाल में दर्ज करें, क्योंकि कैप्चर ज्ञात निगरानी बिंदु वाला साक्ष्य है, नेटवर्क का पूर्ण रिकॉर्ड नहीं।