პაკეტების დაშორებული აღება: სენსორი ადგილზე, ანალიტიკოსი დისტანციურად

პაკეტების აღება იმ ადგილს ეკუთვნის, სადაც პაკეტები უკვე მიედინება, და დისტანციური ანალიტიკოსი იქ იშვიათად ზის. სამუშაო განლაგებაა სენსორი დაკვირვებულ სეგმენტზე და VPN, რომელიც მართვასა და გამოტანას ატარებს, და არა მთელ ასახულ კავშირს. ეს გაყოფა ანალიტიკოსის ლეპტოპს აღების გზიდან გარეთ ინახავს და მგრძნობიარე დატვირთვას ადგილზე ტოვებს. ქვემოთ მოცემული ნაბიჯები ირჩევენ ინტერფეისს, ზღუდავენ ფაილს და მხოლოდ იმას გადაადგილებენ, რაც კითხვას სჭირდება.

დისტანციური ლეპტოპი ტაპი არ არის

VPN-ით ქსელში შეერთება თქვენს მანქანას სენსორამდე მარშრუტს აძლევს და არა სხვა ჰოსტებს შორის ტრაფიკის ხილვას. თქვენს ლეპტოპზე აღებული ჩანაწერი ხედავს მხოლოდ იმ პაკეტებს, რომლებიც თქვენი ლეპტოპის ინტერფეისს გადაეცემა. გადართული კავშირის დაკვირვება მოითხოვს, რომ ქსელის მფლობელმა უზრუნველყოს სარკე ან ტოტი, რომელიც ადგილზე მდებარე სენსორს კვებავს. მაშინაც კი სარკეს საზღვრები აქვს, რადგან გადატვირთული დანიშნულებები კადრებს ყრიან და კარიბჭე ვერასოდეს ხედავს ტრაფიკს, რომელიც იმავე VLAN-ის შიგნით რჩება.

დაშიფრული ნაკადი სენსორთანაც დაშიფრული რჩება, რადგან TLS დატვირთვა ბოლო წერტილებს ეკუთვნის. აღება გვაძლევს სათაურებს, დროსა და მოცულობას და არა ღია ტექსტს.

აირჩიეთ ინტერფეისი, რომელიც ნაკადს ხედავს

სანამ რამეს გაფილტრავთ, ჩამოთვალეთ ინტერფეისები და დაადასტურეთ, რომელი ატარებს იმ გზას, რაზეც გკითხეს. ფიზიკურ პორტს, გაერთიანებასა და ხიდს შორის გამოცნობა ცარიელი ფაილის შეგროვების ჩვეული გზაა.

ip -br link
dumpcap -D

შეადარეთ ინტერფეისის სახელი ცვლილების ჩანაწერში მოცემულ დაკვირვების წერტილს და არა სახელს, რომელიც სხვა ჰოსტიდან გახსოვთ. თუ პაკეტების რაოდენობა ნულზე რჩება, სანამ სერვისი აშკარად დაკავებულია, სენსორი არასწორ სეგმენტზეა ან სარკე საპირისპირო მიმართულებისთვისაა გამართული. ჯერ ცნობილი გაცვლით დაამტკიცეთ გზა, რომ გატეხილი სარკე წყნარ აპლიკაციად არ შეირაცხოს. ჩაწერეთ ინტერფეისისა და სარკის დეტალები აღების ჩანაწერებში, სანამ ისინი ჯერ კიდევ ახალია.

შეზღუდეთ აღება ფილტრითა და რგოლით

უსაზღვრო აღება დისკს ავსებს და იმაზე მეტს აგროვებს, ვიდრე კითხვა მოითხოვს. ჩასვით დაშვებული წყარო, დანიშნულება და პროტოკოლი ფილტრში, შემდეგ შეზღუდეთ ფაილის ზომა და ფაილების რაოდენობა.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

ზემოთ მოცემული მისამართი და პორტი დოკუმენტაციის დიაპაზონის მაგალითებია, ამიტომ შეცვალეთ ისინი დამტკიცებული მნიშვნელობებით და ფანჯარა საკმარისად მოკლედ შეინახეთ, რომ მტკიცებულებები რგოლს გადაურჩეს. კადრის სიგრძე ჭრის დატვირთვას და ინახავს სათაურებს, რაც ჩვეულებრივ საკმარისია კავშირის კითხვისთვის და გაცილებით ადვილია შესანახად. წაიკითხეთ ბირთვის ჩამოშორების ხაზი, რომელსაც tcpdump გასვლისას ბეჭდავს, რადგან ჩამოშორების მაღალი რიცხვი ნიშნავს, რომ აღება არასრულია და არა წყნარი. შეინახეთ საჭირო ფანჯარა სანამ რგოლი გადაწერს მას, და ჩაწერეთ ფილტრის სტრიქონი ფაილის სახელის გვერდით.

გადაიტანეთ ფაილი და არა მთელი კავშირი

მზა აღება მიიღეთ მართვის არხით და არა სარკის WAN-ზე გადაცემით. ერთი გადაცემა უფრო ადვილად ავტორიზდება, ილოგება და იშლება, ვიდრე უწყვეტი ექსპორტი.

scp [email protected]:/var/tmp/cap.pcap ./

ფაილი მხოლოდ ოპერატორის ანგარიშისთვის წაკითხვადი შეინახეთ და წაშალეთ სენსორიდან, როცა ანალიზის ასლი დამოწმდება. თუ ცოცხალი ექსპორტი ნამდვილად მოთხოვნაა, სარკის ინკაფსულაცია და ტრანსპორტი ერთად გაზომეთ, რადგან დამატებითი დატვირთვა შეიძლება აღემატებოდეს კავშირის ბიუჯეტს. ხილვადობის ხარვეზები მაინც ჩაწერეთ, რადგან აღება ცნობილი დაკვირვების წერტილის მქონე მტკიცებულებაა და არა ქსელის სრული ჩანაწერი.