Հեռավոր փաթեթների գրառում. սենսորը՝ տեղում, վերլուծողը՝ հեռվից

Փաթեթների գրառումը տեղ ունի այնտեղ, որտեղ փաթեթներն արդեն հոսում են, իսկ հեռավոր վերլուծողը հազվադեպ է այնտեղ նստում։ Աշխատունակ կառուցվածքը դիտարկվող հատվածի սենսորն է և VPN, որը տեղափոխում է կառավարում և հետբերում, ոչ թե ամբողջ հայելային կապը։ Այդ բաժանումը վերլուծողի նոթբուքը դուրս է պահում գրառման ուղուց և զգայուն բովանդակությունը պահում տեղում։ Ստորև բերված քայլերը ընտրում են ինտերֆեյսը, սահմանափակում ֆայլը և տեղափոխում միայն այն, ինչ պահանջում է հարցը։

Հեռավոր նոթբուքը լսակետ չէ

VPN-ով ցանցին միանալը ձեր մեքենային տալիս է երթուղի դեպի սենսորը, ոչ թե տեսանելիություն այլ հոսթերի միջև տրաֆիկում։ Ձեր նոթբուքում վերցված գրառումը տեսնում է միայն ձեր նոթբուքի ինտերֆեյսին հանձնված փաթեթները։ Միացված կապը դիտելու համար ցանցի տերը պետք է տրամադրի հայելի կամ ճյուղ, որը կերակրում է տեղում գտնվող սենսորը։ Նույնիսկ այն ժամանակ հայելին ունի սահմաններ, քանի որ գերբեռնված նպատակակետերը գցում են շրջանակները, և դարպասը երբեք չի տեսնում նույն VLAN-ի ներսում մնացող տրաֆիկը։

Գաղտնագրված հոսքը նույնպես գաղտնագրված է մնում սենսորի մոտ, քանի որ TLS բեռը պատկանում է ծայրակետերին։ Գրառումը տալիս է վերնագրեր, ժամանակ և ծավալ, ոչ բաց տեքստ։

Ընտրեք այն ինտերֆեյսը, որը տեսնում է հոսքը

Նախքան որևէ բան զտելը, թվարկեք ինտերֆեյսները և հաստատեք, թե որն է տանում ձեզ տրված հարցի ուղին։ Ֆիզիկական պորտի, միավորման և կամրջի միջև գուշակելը դատարկ ֆայլ հավաքելու սովորական եղանակ է։

ip -br link
dumpcap -D

Համապատասխանեցրեք ինտերֆեյսի անունը փոփոխությունների մատյանի դիտարկման կետին, ոչ թե այլ հոսթից հիշված անվան։ Եթե փաթեթների հաշվարկը մնում է զրոյական, մինչ ծառայությունը տեսանելիորեն զբաղված է, սենսորը սխալ հատվածում է կամ հայելին կարգավորված է հակառակ ուղղության համար։ Նախ ապացուցեք ուղին ծանոթ փոխանակությամբ, որպեսզի կոտրված հայելին չշփոթեն հանգիստ հավելվածի հետ։ Գրեք ինտերֆեյսի և հայելու մանրամասները գրառման նշումներում, քանի դեռ դրանք թարմ են։

Սահմանափակեք գրառումը զտիչով և օղակով

Առանց սահմանի գրառումը լցնում է սկավառակը և հավաքում ավելին, քան պահանջում է հարցը։ Դրեք թույլատրված աղբյուրը, նպատակակետը և արձանագրությունը զտիչի մեջ, ապա սահմանափակեք ֆայլի չափը և ֆայլերի քանակը։

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Վերևի հասցեն և պորտը փաստագրության տիրույթի օրինակներ են, ուստի փոխարինեք հաստատված արժեքներով և պատուհանը պահեք բավական կարճ, որպեսզի ապացույցները վերապրեն օղակը։ Պատկերի երկարությունը կտրում է բեռը՝ պահելով վերնագրերը, ինչը սովորաբար բավական է կապակցության հարցի համար և շատ ավելի հեշտ է պահել։ Կարդացեք միջուկի թափման տողը, որը tcpdump-ը տպում է ելքի ժամանակ, քանի որ թափման մեծ թիվը նշանակում է, որ գրառումը թերի է, ոչ հանգիստ։ Պահպանեք անհրաժեշտ պատուհանը մինչև օղակը կվերագրի այն, և գրանցեք զտիչի տողը ֆայլի անվան կողքին։

Տեղափոխեք ֆայլը, ոչ ամբողջ կապը

Վերցրեք ավարտված գրառումը կառավարման ուղով՝ հայելին WAN-ով հեռարձակելու փոխարեն։ Մեկ փոխանցումն ավելի հեշտ է թույլատրել, գրանցել և ջնջել, քան շարունակական արտահանումը։

scp [email protected]:/var/tmp/cap.pcap ./

Ֆայլը պահեք ընթեռնելի միայն օպերատորի հաշվի համար և ջնջեք այն սենսորից, երբ վերլուծության պատճենը ստուգված լինի։ Եթե ուղիղ արտահանումն իսկապես պահանջ է, չափեք հայելու ինկապսուլյացիան և տրանսպորտը միասին, քանի որ ավելորդ ծանրաբեռնվածությունը կարող է գերազանցել կապի բյուջեն։ Գրանցեք տեսանելիության բացերը ամեն դեպքում, քանի որ գրառումը հայտնի դիտարկման կետով ապացույց է, ոչ թե ցանցի ամբողջական արձանագրություն։