Paketopnam op Distanz: de Sensor bleift lokal, den Analyst schafft vu wäitem

Paketopnam gehéiert dohinner, wou d'Pakete schonn fléissen, an den Analyst op Distanz sëtzt selten do. Déi praktikabel Dispositioun ass en Sensor um observéierte Segment plus eng VPN, déi Administratioun an Ofruff dréit, net de ganze gespigelte Link. Dee Split hält den Laptop vum Analyst aus dem Opnamswee an hält sensibel Notzlaascht um Site. D'Schrëtt hei drënner wielen d'Interface, begrenzen d'Datei an transferéieren nëmmen dat, wat d'Fro brauch.

En entfernte Laptop ass keen Tap

Dem Netzwierk iwwer VPN bäitrieden gëtt Ärer Maschinn eng Route zum Sensor, net Visibilitéit an den Trafic tëscht aneren Hosts. Eng Opnam, déi op Ärem Laptop gemaach gëtt, gesäit nëmmen d'Pakete, déi un d'Interface vun Ärem Laptop geliwwert ginn. Fir en ëmgeschaltene Link ze observéieren, muss den Netzwierkbesëtzer e Spigel oder en Tap ubidden, deen en Sensor um Site fiddert. Och dann huet de Spigel Grenzen, well iwwerlaascht Ziler Frames verwerfen an en Gateway ni den Trafic gesäit, dee bannent derselwechter VLAN bleift.

En verschlësselte Stroum bleift och beim Sensor verschlësselt, well d'TLS-Notzlaascht zu den Endpunkte gehéiert. D'Opnam gëtt Header, Zäit a Volumen, net Kloertext.

Wielt d'Interface, déi de Stroum ka gesinn

Ier dir eppes filtert, lëscht d'Interfacen op a bestätegt, wéi eng de Wee dréit, no deem gefrot gouf. Tëschent engem physesche Port, engem Bond an enger Bréck ze roden ass eng heefeg Manéier, eng eidel Datei ze sammelen.

ip -br link
dumpcap -D

Passt den Interface-Numm un de Observatiounspunkt am Ännerungsprotokoll un, net un en Numm, deen Dir vun engem aneren Host erënnert. Wann d'Paketzuel op Null bleift, wärend de Service sichtbar beschäftegt ass, sëtzt de Sensor um falsche Segment oder de Spigel ass fir déi aner Richtung konfiguréiert. Beweist de Wee fir d'éischt mat engem bekannten Austausch, sou datt e gebrachenen Spigel net mat enger roueger Applikatioun verwiesselt gëtt. Schreift d'Detailer vun Interface a Spigel an d'Opnamsnotizen, soulaang se nach frësch sinn.

Begrenzt d'Opnam mat engem Filter an engem Rank

Eng Opnam ouni Grenzen fëllt den Disk a sammelt méi, wéi d'Fro verlaangt. Setzt déi erlaabt Quell, den Zil an de Protokoll an de Filter, a begrenzt dann d'Dateigréi an d'Zuel vun den Dateien.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

D'Adress an de Port uewen sinn Beispiller aus dem Dokumentatiounsberäich, also ersetzt se duerch déi guttgeheescht Wäerter a haalt d'Fënster kuerz genuch, datt d'Beweiser de Rank iwwerliewen. D'Snapshot-Längt schneit d'Notzlaascht of a behält d'Header, wat normalerweis duergeet fir eng Konnektivitéitsfro a vill méi einfach ze späicheren. Liest d'Kernel-Drop-Zeil, déi tcpdump beim Austrëtt dréckt, well eng héich Dropzuel heescht, datt d'Opnam onkomplett an net roueg ass. Huet d'Fënster, déi Dir braucht, ier de Rank se iwwerschreift, a notéiert de Filterstring nieft dem Dateinumm.

Transferéiert d'Datei, net de ganze Link

Sicht déi fäerdeg Opnam iwwer den Administratiounskanal, amplaz de Spigel iwwer d'WAN ze streamen. Eng eenzeg Iwwerweisung ass méi einfach ze autoriséieren, ze loggen an ze läschen wéi en kontinuéierlechen Export.

scp [email protected]:/var/tmp/cap.pcap ./

Hält d'Datei nëmmen dem Operateur sengem Konto liesbar, a läscht se vum Sensor, soubal d'Analyskopie verifizéiert ass. Wann de Live-Export wierklech d'Ufuerderung ass, dimensiounéiert d'Spigel-Encapsulation an den Transport zesummen, well d'Overhead kann d'Linkbudget iwwerschreiden. Notéiert d'Visibilitéitslächer op alle Fall, well eng Opnam e Beweis mat engem bekannten Observatiounspunkt ass an net eng komplett Opzeechnung vum Netzwierk.