Távoli csomagrögzítés: a szenzor maradjon helyben, az elemző távolról dolgozzon

A csomagrögzítés oda tartozik, ahol a csomagok már áramlanak, a távoli elemző pedig ritkán ül ott. A működő elrendezés egy szenzor a megfigyelt szegmensen, valamint egy VPN, amely az adminisztrációt és a visszakeresést szállítja, nem a teljes tükrözött kapcsolatot. Ez a szétválasztás távol tartja az elemző laptopját a rögzítési úttól, és a helyszínen tartja az érzékeny adatokat. Az alábbi lépések kiválasztják az interfészt, korlátozzák a fájlt, és csak azt mozgatják, amire a kérdésnek szüksége van.

A távoli laptop nem leágazás

A hálózathoz VPN-en keresztül csatlakozva a gép útvonalat kap a szenzorhoz, nem betekintést más gazdagépek közötti forgalomba. A laptopján készített rögzítés csak a laptopja interfészére kézbesített csomagokat látja. Egy kapcsolt vonal megfigyeléséhez a hálózat tulajdonosának tükröt vagy leágazást kell biztosítania, amely a helyszíni szenzort táplálja. Még ekkor is vannak határai a tükörnek, mert a túlterhelt célok eldobják a kereteket, és egy átjáró soha nem látja az ugyanazon VLAN-on belül maradó forgalmat.

A titkosított adatfolyam a szenzornál is titkosított marad, mivel a TLS hasznos teher a végpontoké. A rögzítés fejléceket, időzítést és mennyiséget ad, nem nyílt szöveget.

Válassza azt az interfészt, amely látja az adatfolyamot

Mielőtt bármit szűr, listázza az interfészeket, és erősítse meg, melyik viszi a kért útvonalat. A fizikai port, a köteg és a híd közötti találgatás bevett módja az üres fájl gyűjtésének.

ip -br link
dumpcap -D

Párosítsa az interfész nevét a változásrekord megfigyelési pontjához, ne egy másik gazdagépről emlékezett névhez. Ha a csomagszám nullán marad, miközben a szolgáltatás láthatóan elfoglalt, a szenzor rossz szegmensen van, vagy a tükör a másik irányra van beállítva. Először egy ismert váltással bizonyítsa az útvonalat, hogy a hibás tükröt ne nézzék csendes alkalmazásnak. Írja be az interfész és a tükör részleteit a rögzítési jegyzetekbe, amíg még frissek.

Korlátozza a rögzítést szűrővel és gyűrűvel

A korlátok nélküli rögzítés megtölti a lemezt, és többet gyűjt, mint amit a kérdés megkíván. Tegye az engedélyezett forrást, célt és protokollt a szűrőbe, majd korlátozza a fájlméretet és a fájlok számát.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

A fenti cím és port a dokumentációs tartományból vett példa, ezért helyettesítse a jóváhagyott értékekkel, és tartsa elég rövidre az ablakot, hogy a bizonyíték túlélje a gyűrűt. A pillanatkép hossza levágja a hasznos terhet, miközben megtartja a fejléceket, ami általában elég egy kapcsolódási kérdéshez, és sokkal könnyebben tárolható. Olvassa el a kernel eldobási sorát, amelyet a tcpdump kilépéskor kiír, mert a magas eldobásszám azt jelenti, hogy a rögzítés hiányos, nem csendes. Őrizze meg a szükséges ablakot, mielőtt a gyűrű felülírja, és jegyezze fel a szűrőkarakterláncot a fájlnév mellé.

A fájlt mozgassa, ne a teljes kapcsolatot

A kész rögzítést az adminisztrációs csatornán keresztül kérje le, ahelyett hogy a tükröt a WAN-on keresztül streamelné. Egy átvitelt könnyebb engedélyezni, naplózni és törölni, mint egy folyamatos exportot.

scp [email protected]:/var/tmp/cap.pcap ./

Tartsa a fájlt csak az operátori fiók számára olvashatónak, és törölje a szenzorról, miután az elemzési példány ellenőrzésre került. Ha a valós idejű export valóban követelmény, a tükör beágyazását és a szállítást együtt méretezze, mert a többletterhelés meghaladhatja a kapcsolat keretét. A láthatósági hézagokat mindenképpen jegyezze fel, mert a rögzítés ismert megfigyelési ponttal rendelkező bizonyíték, nem a hálózat teljes nyilvántartása.