Penyadapan paket jarak jauh: sensor tetap lokal, analis di tempat lain

Penyadapan paket berada di tempat paket sudah mengalir, dan analis jarak jauh jarang berada di sana. Susunan yang bisa dijalankan adalah sensor pada segmen yang diamati ditambah VPN yang membawa administrasi dan pengambilan, bukan seluruh tautan yang dicerminkan. Pemisahan itu menjauhkan laptop analis dari jalur penyadapan dan menjaga muatan sensitif tetap di lokasi. Langkah di bawah memilih antarmuka, membatasi berkas, dan memindahkan hanya yang dibutuhkan pertanyaan.

Laptop jarak jauh bukan tap

Bergabung ke jaringan melalui VPN memberi mesin Anda rute ke sensor, bukan visibilitas ke lalu lintas antarhost lain. Penyadapan yang diambil di laptop Anda hanya melihat paket yang dikirim ke antarmuka laptop Anda. Mengamati tautan tersakelar memerlukan pemilik jaringan menyediakan cermin atau tap yang memasok sensor di lokasi. Bahkan begitu cermin punya batas, karena tujuan yang kelebihan beban membuang frame dan gateway tidak pernah melihat lalu lintas yang tetap di dalam VLAN yang sama.

Aliran terenkripsi juga tetap terenkripsi di sensor, karena muatan TLS milik titik akhir. Penyadapan menghasilkan header, waktu, dan volume, bukan teks biasa.

Pilih antarmuka yang bisa melihat aliran

Sebelum menyaring apa pun, daftar antarmuka dan pastikan mana yang membawa jalur yang ditanyakan. Menebak antara port fisik, bond, dan jembatan adalah cara umum mengumpulkan berkas kosong.

ip -br link
dumpcap -D

Cocokkan nama antarmuka dengan titik pengamatan di catatan perubahan, bukan dengan nama yang Anda ingat dari host lain. Jika jumlah paket tetap nol sementara layanan terlihat sibuk, sensor berada di segmen yang salah atau cermin dikonfigurasi untuk arah lain. Buktikan jalur lebih dulu dengan pertukaran yang dikenal, supaya cermin rusak tidak disalahartikan sebagai aplikasi yang sunyi. Tulis detail antarmuka dan cermin di catatan penyadapan selama masih segar.

Batasi penyadapan dengan filter dan cincin

Penyadapan tanpa batas memenuhi disk dan mengumpulkan lebih dari yang dibutuhkan pertanyaan. Masukkan sumber, tujuan, dan protokol yang diizinkan ke filter, lalu batasi ukuran berkas dan jumlah berkas.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Alamat dan port di atas adalah contoh dari rentang dokumentasi, jadi ganti dengan nilai yang disetujui dan jaga jendela cukup pendek agar bukti bertahan melewati cincin. Panjang cuplikan memotong muatan sambil mempertahankan header, yang biasanya cukup untuk pertanyaan konektivitas dan jauh lebih mudah disimpan. Baca baris drop kernel yang dicetak tcpdump saat keluar, karena jumlah drop tinggi berarti penyadapan tidak lengkap, bukan sunyi. Pertahankan jendela yang Anda butuhkan sebelum cincin menimpanya, dan catat string filter di samping nama berkas.

Pindahkan berkasnya, bukan seluruh tautan

Ambil penyadapan yang sudah selesai melalui kanal manajemen alih-alih menstrim cermin melalui WAN. Satu transfer lebih mudah diotorisasi, dicatat, dan dihapus daripada ekspor berkelanjutan.

scp [email protected]:/var/tmp/cap.pcap ./

Jaga berkas hanya dapat dibaca oleh akun operator, dan hapus dari sensor setelah salinan analisis diverifikasi. Jika ekspor langsung benar-benar menjadi kebutuhan, ukur enkapsulasi cermin dan transportasi bersama, karena beban tambahan bisa melebihi anggaran tautan. Catat celah visibilitas bagaimanapun, karena penyadapan adalah bukti dengan titik pengamatan yang diketahui, bukan catatan lengkap jaringan.