Udaljeno snimanje paketa: senzor ostaje lokalno, analitičar na daljinu

Snimanje paketa pripada tamo gdje paketi već teku, a udaljeni analitičar rijetko sjedi tamo. Izvediv raspored je senzor na promatranom segmentu plus VPN koji nosi administraciju i dohvat, a ne cijelu zrcaljenu vezu. Ta podjela drži prijenosnik analitičara izvan putanje snimanja i čuva osjetljive terete na mjestu. Koraci u nastavku biraju sučelje, ograničavaju datoteku i prenose samo ono što pitanje traži.

Udaljeni prijenosnik nije točka snimanja

Pridruživanje mreži preko VPN-a daje vašem stroju rutu do senzora, a ne vidljivost u promet između drugih hostova. Snimanje uzeto na vašem prijenosniku vidi samo pakete dostavljene sučelju vašeg prijenosnika. Promatranje komutirane veze zahtijeva da mrežni vlasnik osigura zrcalo ili točku snimanja koja hrani senzor na mjestu. Čak i tada zrcalo ima granice, jer preopterećena odredišta odbacuju okvire, a pristupnik nikada ne vidi promet koji ostaje unutar istog VLAN-a.

Šifrirani tok također ostaje šifriran na senzoru, jer TLS teret pripada krajnjim točkama. Snimanje daje zaglavlja, vrijeme i obujam, ne čisti tekst.

Odaberite sučelje koje vidi tok

Prije nego što bilo što filtrirate, izlistajte sučelja i potvrdite koje nosi putanju o kojoj ste pitani. Nagađanje između fizičkog porta, spoja i mosta čest je način da prikupite praznu datoteku.

ip -br link
dumpcap -D

Uskladite naziv sučelja s točkom promatranja u zapisu promjena, a ne s nazivom kojeg se sjećate s drugog hosta. Ako broj paketa ostane nula dok je usluga vidljivo zauzeta, senzor stoji na pogrešnom segmentu ili je zrcalo konfigurirano za drugi smjer. Prvo dokažite putanju poznatom razmjenom, da se pokvareno zrcalo ne zamijeni tihom aplikacijom. Zapišite pojedinosti sučelja i zrcala u bilješke snimanja dok su još svježe.

Ograničite snimanje filtrom i krugom

Snimanje bez granica puni disk i skuplja više nego što pitanje zahtijeva. Stavite dopušteni izvor, odredište i protokol u filtar, zatim ograničite veličinu datoteke i broj datoteka.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adresa i port iznad primjeri su iz dokumentacijskog raspona, zato zamijenite odobrenim vrijednostima i držite prozor dovoljno kratkim da dokazi prežive krug. Duljina snimke odsijeca teret uz zadržavanje zaglavlja, što je obično dovoljno za pitanje o povezivosti i mnogo lakše za pohranu. Pročitajte liniju odbacivanja jezgre koju tcpdump ispiše pri izlazu, jer visok broj odbačaja znači da je snimanje nepotpuno, a ne tiho. Sačuvajte prozor koji trebate prije nego što ga krug prepiše i zapišite nisku filtra uz naziv datoteke.

Premjestite datoteku, ne cijelu vezu

Dohvatite gotovo snimanje preko kanala upravljanja umjesto da strujite zrcalo preko WAN-a. Jedan prijenos lakše je ovlastiti, zabilježiti i izbrisati od trajnog izvoza.

scp [email protected]:/var/tmp/cap.pcap ./

Držite datoteku čitljivom samo za operatorski račun i izbrišite je sa senzora nakon što se kopija za analizu potvrdi. Ako je živi izvoz doista zahtjev, dimenzionirajte inkapsulaciju zrcala i transport zajedno, jer dodatni teret može premašiti proračun veze. Zabilježite praznine u vidljivosti u svakom slučaju, jer je snimanje dokaz s poznatom točkom promatranja, a ne potpuni zapis mreže.