Қашықтан пакет ұстау: сенсор орнында қалады, талдаушы алыста

Пакет ұстау пакеттер әлдеқашан ағып жатқан жерге тиесілі, ал қашықтағы талдаушы онда сирек отырады. Жарамды құрылым — бақыланатын сегменттегі сенсор және бүкіл айналанған желіні емес, әкімшілік пен алуды тасымалдайтын VPN. Бұл бөліну талдаушының ноутбугін ұстау жолынан тыс ұстайды және құпия жүктемелерді орнында қалдырады. Төмендегі қадамдар интерфейсті таңдайды, файлды шектейді және сұраққа қажет нәрсені ғана жылжытады.

Қашықтағы ноутбук түйісу нүктесі емес

Желіге VPN арқылы қосылу машинаңызға сенсорға дейінгі маршрут береді, басқа хосттар арасындағы трафикті көруді емес. Ноутбугіңызда алынған ұстау тек ноутбугіңыздың интерфейсіне жеткізілген пакеттерді көреді. Комутацияланған желіні бақылау үшін желі иесі орнындағы сенсорды қоректендіретін айна немесе тармақ беруі керек. Сонда да айнаның шектері бар, өйткені шамадан тыс жүктелген мақсаттар кадрларды тастайды және қақпа сол VLAN ішінде қалатын трафикті ешқашан көрмейді.

Шифрланған ағын сенсорда да шифрланған күйде қалады, өйткені TLS жүктемесі соңғы нүктелерге тиесілі. Ұстау тақырыптарды, уақытты және көлемді береді, ашық мәтін емес.

Ағынды көре алатын интерфейсті таңдаңыз

Бірдеңені сүзбес бұрын интерфейстерді тізімдеп, сұралған жолды қайсысы тасымалдайтынын растаңыз. Физикалық порт, біріктіру және көпір арасында болжау бос файл жинаудың кәдімгі жолы.

ip -br link
dumpcap -D

Интерфейс атауын өзгеріс жазбасындағы бақылау нүктесімен сәйкестендіріңіз, басқа хосттан есте қалған атаумен емес. Қызмет көрінетіндей бос емес кезде пакет саны нөлде қалса, сенсор қате сегментте тұр немесе айна қарсы бағытқа реттелген. Алдымен жолды белгілі алмасумен дәлелдеңіз, сынған айна тыныш қолданба деп қабылданбасын. Интерфейс пен айна мәліметтерін әлі жаңа кезінде ұстау жазбаларына жазыңыз.

Ұстауды сүзгімен және сақинамен шектеңіз

Шектеусіз ұстау дискіні толтырады және сұрақ талап еткеннен көп жинайды. Рұқсат етілген көзді, тағайындалуды және протоколды сүзгіге қойыңыз, содан кейін файл өлшемін және файл санын шектеңіз.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Жоғарыдағы мекенжай мен порт құжаттама ауқымының мысалдары, сондықтан оларды бекітілген мәндермен ауыстырыңыз және терезе дәлелдер сақинадан өтіп кететіндей қысқа болсын. Сурет ұзындығы тақырыптарды сақтай отырып жүктемені кеседі, бұл әдетте қосылым сұрағына жетеді және сақтауға әлдеқайда оңай. tcpdump шыққан кезде басатын ядро тастау жолын оқыңыз, өйткені тастаудың көптігі ұстаудың тыныш емес, толық емес екенін білдіреді. Сақина үстінен жазбас бұрын қажет терезені сақтап қойыңыз және сүзгі жолын файл атауының қасына жазыңыз.

Бүкіл желіні емес, файлды жылжытыңыз

Дайын ұстауды айнаны WAN арқылы таратудың орнына басқару арнасы арқылы алыңыз. Бір тасымалдауды рұқсат ету, журналға түсіру және жою үздіксіз экспортқа қарағанда оңай.

scp [email protected]:/var/tmp/cap.pcap ./

Файлды тек оператор тіркелгісіне оқылатын етіп ұстаңыз және талдау көшірмесі тексерілген соң оны сенсордан жойыңыз. Егер тікелей экспорт шынымен талап болса, айна инкапсуляциясы мен тасымалды бірге өлшеңіз, өйткені қосымша жүктеме желі бюджетінен асуы мүмкін. Көріну олқылықтарын қалай болса да жазыңыз, өйткені ұстау белгілі бақылау нүктесі бар дәлел, желінің толық жазбасы емес.