Ee Floss, véier Grenzen: de leschte Paket fannen

Eng Säit seet, si hätt den Trafik geschéckt; déi aner seet, en ass néierens ukomm. Dës zwou Aussoen héieren sech wéi e Widdersproch un a sinn meeschtens just zwou verschidde Miessungen. Eng Paketzuel, e Firewall-Log an eng Opnam beschreiwen ënnerschiddlech Schichten, a si ouni Etiketten ze vergläichen ergëtt e Verdächtegen amplaz vun enger Plaz. Baut de Rapport ëm ee Floss a seng Beobachtungspunkten.

En Zuel ouni Kontext beweist wéineg

En Gateway, dee svéierend Bytes mellt, ass kee Beweis, datt déi wäit Enn eng bestëmmte Ufro kritt huet. D'Zuel kann aner Flëss, aner Zäiten oder eng aner Schicht vun Encapsulation enthalen. Eng Zuel, déi klëmmt, während d'Destinatioun näischt gesäit, kann nach ëmmer korrekt sinn, well si eng aner Fro gemooss huet. Ier Dir eppes vergläicht, fixéiert de Floss, d'Fënster an d'Schicht.

Zwou Zuelen aus verschiddene Schichte kënnen éierlech auserneegoe. D'Divergenz ass den Ufank vun der Enquête, net d'Conclusioun.

Etikettéiert all Beobachtungspunkt

Fir all Beobachtung, notéiert d'Apparat, d'Interface oder den Hook, d'Richtung, d'Referenz vun der Auer an ob se bannenzege Trafik oder den äusseren Transport weist. E Firewall-Log um Host an eng Opnam um Uplink si verschidde Beweiser, och wann se nëmmen e puer Sekonnen ausernee sinn. D'Etikett ass dat, wat en aneren Ingenieur d'Vue reproduzéiere léisst.

Halt d'Problem vun der Auer sichtbar. Auere driften, an en Zäitstempel vun engem Host ass vläicht net direkt mat engem aneren ze vergläichen. Wann d'Hoste sech net synchroniséiere loossen, ëmgitt de Versuch mat Zäitstempelen vun deenen zwee a benotzt d'Reiefolleg amplaz vum absolute Wäert. Notéiert de gemoossene Versatz amplaz d'Zäiten onopfälleg unzepassen.

Passt d'Felder un, déi de Punkt tatsächlech weist

Vergläicht Adressen a Protokollfelder op Punkten, déi se tatsächlech weisen. Berücksichtegt déi bewosst Iwwersetzung, well en nei geschriwwenen Tuple nach ëmmer déi selwecht Konversatioun ass. Fir en autoriséierten IPv4-Echo-Test gëtt d'RFC-792-Definitioun Identifiant- a Sequenzfelder, déi hëllefen, Ufroen an Äntwerten ze passen. Halt och d'Adressen an d'Fënster, well en eenzege Sequenzwäert keng eenzegaarteg Identitéit ass.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Wou den äussere Been verschlësselt ass, halt d'Konversatioun mam Peer an hir Richtung an engem separate Rekord. Et ass net ze erwaarden, datt den bannenzege Echo-Identifiant dobaussen an der selwechter Form iwwerlieft. Äusserlech a bannenzeg Zuele sollen net vergläicht ginn, ouni d'Repräsentatioun ze nennen.

Mellt den feelenden Intervall, net e Verdächtegen

Eng fehlend Beobachtung ass begrenzt Beweis, net de Beweis vun engem Verloscht op deem Apparat. Filteren, d'Plaz vun der Opnam, verluer Opnamdaten an eng Fënster, déi de Versuch verpasst huet, erginn all en onkompletten Rekord. Sot, wat feelt a tëschent wéi enge Grenzen. Eng Absenz brauch och en Ofleefdatum, also nennt wéi laang Dir observéiert hutt a wat hätt missen erschéngen.

D'Behaaptung vun der anerer Säit, si hätt den Trafik weidergeleet, ass Kontext, ni eng Beobachtung. Iwwergitt de Floss, d'Zäitstempelen, déi etikettéiert Grenzen an ee schmuelen Beispill. Halt de Rapport kuerz genuch, datt déi gefrot Beobachtung ervirhiewe gëtt. Dat mécht déi nächst Ufro zu enger präziser Miessung amplaz vun enger Beschëllegung.

Setzt déi gefrot Miessung an ee Saz. Da stoppt mat schreiwen.