Nuotolinis paketų fiksavimas: jutiklis lieka vietoje, analitikas dirba nuotoliu

Paketų fiksavimas priklauso ten, kur paketai jau teka, o nuotolinis analitikas ten retai sėdi. Veikianti tvarka – jutiklis stebimame segmente ir VPN, kuris perneša administravimą bei paėmimą, o ne visą veidrodinę jungtį. Šis atskyrimas laiko analitiko nešiojamąjį kompiuterį už fiksavimo kelio ir išsaugo jautrius duomenis vietoje. Toliau pateikti žingsniai parenka sąsają, apriboja failą ir perkelia tik tai, ko reikia klausimui.

Nuotolinis nešiojamasis nėra atšaka

Prisijungimas prie tinklo per VPN suteikia jūsų kompiuteriui maršrutą iki jutiklio, o ne matomumą į srautą tarp kitų hostų. Jūsų nešiojamajame kompiuteryje atliktas fiksavimas mato tik paketus, pristatytus jo sąsajai. Norint stebėti komutuojamą jungtį, tinklo savininkas turi suteikti veidrodį arba atšaką, maitinančią jutiklį vietoje. Net ir tada veidrodis turi ribas, nes perkrauti paskirties taškai meta kadrus, o šliuzas niekada nemato srauto, kuris lieka toje pačioje VLAN.

Užšifruotas srautas taip pat lieka užšifruotas jutiklyje, nes TLS turinys priklauso galiniams taškams. Fiksavimas duoda antraštes, laiką ir apimtį, o ne atvirą tekstą.

Pasirinkite sąsają, kuri mato srautą

Prieš ką nors filtruodami, išvardykite sąsajas ir patvirtinkite, kuri neša kelią, apie kurį buvo klausta. Spėliojimas tarp fizinio prievado, sujungimo ir tilto yra įprastas būdas surinkti tuščią failą.

ip -br link
dumpcap -D

Suderinkite sąsajos pavadinimą su stebėjimo tašku pakeitimų įraše, o ne su vardu, kurį prisimenate iš kito hosto. Jei paketų skaitiklis lieka nulis, o paslauga akivaizdžiai užimta, jutiklis yra netinkamame segmente arba veidrodis sukonfigūruotas kitai krypčiai. Pirmiausia įrodykite kelią žinomais mainais, kad sugedęs veidrodis nebūtų palaikytas tylia programa. Užrašykite sąsajos ir veidrodžio detales fiksavimo pastabose, kol jos dar šviežios.

Apribokite fiksavimą filtru ir žiedu

Fiksavimas be ribų užpildo diską ir surenka daugiau, nei reikalauja klausimas. Įdėkite leidžiamą šaltinį, paskirties vietą ir protokolą į filtrą, tada apribokite failo dydį ir failų skaičių.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Aukščiau pateiktas adresas ir prievadas yra pavyzdžiai iš dokumentacijos diapazono, todėl pakeiskite juos patvirtintomis reikšmėmis ir laikykite langą pakankamai trumpą, kad įrodymai išliktų po žiedo. Momentinės kopijos ilgis nukerpa turinį, išlaikydamas antraštes, ko paprastai pakanka ryšio klausimui ir yra daug lengviau saugoti. Perskaitykite branduolio praleidimų eilutę, kurią tcpdump išspausdina išvykdamas, nes didelis praleidimų skaičius reiškia, kad fiksavimas nepilnas, o ne tylus. Išsaugokite reikalingą langą prieš žiedui jį perrašant ir užrašykite filtro eilutę šalia failo pavadinimo.

Perkelkite failą, o ne visą jungtį

Paimkite baigtą fiksavimą valdymo kanalu, o ne transliuokite veidrodį per WAN. Vieną perdavimą lengviau įgalioti, registruoti ir ištrinti nei nuolatinį eksportą.

scp [email protected]:/var/tmp/cap.pcap ./

Laikykite failą skaitomą tik operatoriaus paskyrai ir ištrinkite jį iš jutiklio, kai analizės kopija bus patikrinta. Jei tiesioginis eksportas tikrai yra reikalavimas, matuokite veidrodžio inkapsuliavimą ir transportą kartu, nes papildoma apkrova gali viršyti ryšio biudžetą. Užrašykite matomumo spragas bet kuriuo atveju, nes fiksavimas yra įrodymas su žinomu stebėjimo tašku, o ne visas tinklo įrašas.