遠隔パケットキャプチャ：センサーは現地に、解析者は遠隔に

パケットキャプチャはパケットがすでに流れている場所に属し、遠隔の解析者がそこに座ることはほとんどありません。実用的な構成は、観測対象セグメント上のセンサーと、管理と取得だけを運ぶ VPN であり、ミラーされた回線全体ではありません。この分離により、解析者のノート PC はキャプチャ経路の外に置かれ、機密のペイロードは現地にとどまります。以下の手順では、インターフェースを選び、ファイルを制限し、問い合わせに必要な分だけを移します。

遠隔のノート PC はタップではない

VPN でネットワークに参加すると、自分のマシンにはセンサーへの経路ができますが、他のホスト間のトラフィックは見えません。ノート PC で取ったキャプチャが見るのは、そのノート PC のインターフェースに届いたパケットだけです。スイッチされた回線を観測するには、ネットワークの所有者が現地のセンサーに供給するミラーまたはタップを用意する必要があります。それでもミラーには限界があり、過剰に集約された宛先はフレームを落とし、ゲートウェイは同じ VLAN 内にとどまるトラフィックを決して見ません。

暗号化されたストリームはセンサーの位置でも暗号化されたままで、TLS のペイロードは端点に属します。キャプチャで得られるのはヘッダー、時刻、量であり、平文ではありません。

フローが見えるインターフェースを選ぶ

何かをフィルタリングする前に、インターフェースを一覧し、問い合わせの経路を運んでいるのはどれかを確認します。物理ポート、ボンド、ブリッジの間で推測するのは、空のファイルを集めるよくある方法です。

ip -br link
dumpcap -D

インターフェース名は変更記録の観測点に合わせ、別のホストで覚えた名前には合わせません。サービスが明らかに忙しいのにパケット数がゼロのままなら、センサーが誤ったセグメントにあるか、ミラーが逆方向に設定されています。まず既知のやり取りで経路を証明し、壊れたミラーを静かなアプリケーションと取り違えないようにします。インターフェースとミラーの詳細は、新しいうちにキャプチャの記録へ書きます。

フィルターとリングでキャプチャを制限する

制限のないキャプチャはディスクを埋め、問い合わせが必要とする以上を集めます。許可された送信元、宛先、プロトコルをフィルターに入れ、次にファイルサイズとファイル数を制限します。

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

上のアドレスとポートはドキュメント用の範囲の例なので、承認された値に置き換え、証拠がリングを越えて残るようウィンドウを十分短く保ちます。スナップショット長はヘッダーを保ったままペイロードを切り詰めるので、接続性の問い合わせにはたいてい十分で、保存もはるかに簡単です。tcpdump が終了時に出力するカーネルのドロップ行を読みます。ドロップ数が多いのは、静かなのではなくキャプチャが不完全だという意味です。リングが上書きする前に必要なウィンドウを保存し、ファイル名の隣にフィルター文字列を記録します。

リンク全体ではなくファイルを移す

完成したキャプチャは、ミラーを WAN 越しに流すのではなく、管理チャネルで取得します。一度の転送は、継続的なエクスポートより承認、記録、削除が容易です。

scp [email protected]:/var/tmp/cap.pcap ./

ファイルはオペレーターアカウントだけが読めるようにし、解析用コピーを検証したらセンサーから削除します。ライブのエクスポートが本当に要件なら、ミラーのカプセル化と転送を合わせて見積もります。オーバーヘッドが回線の予算を超えることがあるからです。いずれにせよ可視性の空白は記録します。キャプチャは観測点が既知の証拠であり、ネットワークの完全な記録ではないからです。