원격 패킷 캡처: 센서는 현장에, 분석가는 원격에서

패킷 캡처는 패킷이 이미 흐르는 곳에 속하며, 원격 분석가는 그곳에 거의 앉지 않습니다. 실용적인 구성은 관찰 대상 세그먼트의 센서와 관리 및 회수만 전달하는 VPN이며, 미러링된 전체 링크가 아닙니다. 이 분리는 분석가의 노트북을 캡처 경로 밖에 두고 민감한 페이로드를 현장에 남깁니다. 아래 단계는 인터페이스를 고르고, 파일을 제한하며, 질문에 필요한 것만 옮깁니다.

원격 노트북은 탭이 아닙니다

VPN으로 네트워크에 참여하면 기기에 센서까지의 경로가 생길 뿐, 다른 호스트 간 트래픽을 볼 수 있는 것은 아닙니다. 노트북에서 수행한 캡처는 노트북 인터페이스로 전달된 패킷만 봅니다. 스위치드 링크를 관찰하려면 네트워크 소유자가 현장 센서에 공급하는 미러나 탭을 제공해야 합니다. 그렇더라도 미러에는 한계가 있습니다. 과다 가입된 대상은 프레임을 버리고, 게이트웨이는 같은 VLAN 안에 머무는 트래픽을 절대 보지 못합니다.

암호화된 스트림은 센서에서도 암호화된 채로 남습니다. TLS 페이로드는 엔드포인트에 속하기 때문입니다. 캡처가 주는 것은 헤더, 시간, 볼륨이며 평문이 아닙니다.

흐름을 볼 수 있는 인터페이스를 고르십시오

무엇이든 필터링하기 전에 인터페이스를 나열하고, 질문의 경로를 어느 것이 전달하는지 확인하십시오. 물리 포트, 본드, 브리지 사이에서 추측하는 것은 빈 파일을 모으는 흔한 방법입니다.

ip -br link
dumpcap -D

인터페이스 이름은 변경 기록의 관찰 지점에 맞추고, 다른 호스트에서 기억하는 이름에 맞추지 마십시오. 서비스가 분명히 바쁜데 패킷 수가 영에 머문다면 센서가 잘못된 세그먼트에 있거나 미러가 반대 방향으로 설정된 것입니다. 먼저 알려진 교환으로 경로를 증명하여, 고장난 미러를 조용한 애플리케이션으로 오해하지 않도록 하십시오. 인터페이스와 미러 세부 정보는 아직 신선할 때 캡처 노트에 기록하십시오.

필터와 링으로 캡처를 제한하십시오

제한 없는 캡처는 디스크를 채우고 질문이 요구하는 것보다 많이 모읍니다. 허용된 출발지, 목적지, 프로토콜을 필터에 넣고, 그다음 파일 크기와 파일 수를 제한하십시오.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

위 주소와 포트는 문서용 대역의 예이므로 승인된 값으로 바꾸고, 증거가 링을 넘어 남도록 창을 충분히 짧게 유지하십시오. 스냅샷 길이는 헤더를 유지하면서 페이로드를 자르므로 연결 질문에는 대개 충분하고 저장하기가 훨씬 쉽습니다. tcpdump가 종료 시 출력하는 커널 드롭 줄을 읽으십시오. 드롭 수가 높다는 것은 조용한 것이 아니라 캡처가 불완전하다는 뜻입니다. 링이 덮어쓰기 전에 필요한 창을 보존하고, 파일 이름 옆에 필터 문자열을 기록하십시오.

링크 전체가 아니라 파일을 옮기십시오

완료된 캡처는 미러를 WAN으로 스트리밍하는 대신 관리 채널로 가져오십시오. 한 번의 전송은 지속적인 내보내기보다 승인, 기록, 삭제가 쉽습니다.

scp [email protected]:/var/tmp/cap.pcap ./

파일은 운영자 계정만 읽을 수 있게 하고, 분석 사본이 검증되면 센서에서 삭제하십시오. 실시간 내보내기가 정말 요구 사항이라면 미러 캡슐화와 전송을 함께 산정하십시오. 오버헤드가 링크 예산을 넘을 수 있습니다. 어느 경우든 가시성 공백은 기록하십시오. 캡처는 관찰 지점이 알려진 증거이며 네트워크의 완전한 기록이 아닙니다.