Attālināta pakešu tveršana: sensors paliek uz vietas, analītiķis strādā attālināti

Pakešu tveršana pieder tur, kur paketes jau plūst, un attālinātais analītiķis tur reti sēž. Darboties spējīgais risinājums ir sensors novērotajā segmentā un VPN, kas pārnes pārvaldību un izgūšanu, nevis visu spoguļoto savienojumu. Šī sadalīšana tur analītiķa portatīvo datoru ārpus tveršanas ceļa un saglabā jutīgos datus uz vietas. Tālāk minētie soļi izvēlas saskarni, ierobežo failu un pārvieto tikai to, kas nepieciešams jautājumam.

Attālināts portatīvais nav atzars

Pievienošanās tīklam caur VPN dod jūsu datoram maršrutu uz sensoru, nevis redzamību datplūsmā starp citiem resursdatoriem. Jūsu portatīvajā datorā veiktā tveršana redz tikai paketes, kas piegādātas tā saskarnei. Komutētas saites novērošanai tīkla īpašniekam ir jānodrošina spogulis vai atzars, kas baro sensoru uz vietas. Pat tad spogulim ir robežas, jo pārslogotas galamērķa ierīces izmet kadrus, un vārteja nekad neredz datplūsmu, kas paliek tajā pašā VLAN.

Šifrēta plūsma arī paliek šifrēta pie sensora, jo TLS kravnesība pieder galapunktiem. Tveršana dod galvenes, laiku un apjomu, nevis atklātu tekstu.

Izvēlieties saskarni, kas redz plūsmu

Pirms kaut ko filtrējat, uzskaitiet saskarnes un apstipriniet, kura nes ceļu, par kuru jums jautāja. Minēšana starp fizisku portu, apvienojumu un tiltu ir parasts veids, kā savākt tukšu failu.

ip -br link
dumpcap -D

Saskaņojiet saskarnes nosaukumu ar novērojuma punktu izmaiņu ierakstā, nevis ar nosaukumu, ko atceraties no cita resursdatora. Ja pakešu skaits paliek nulle, kamēr pakalpojums ir redzami aizņemts, sensors atrodas nepareizajā segmentā vai spogulis ir konfigurēts pretējam virzienam. Vispirms pierādiet ceļu ar zināmu apmaiņu, lai bojātu spoguli nesajauktu ar klusu lietojumprogrammu. Ierakstiet saskarnes un spoguļa informāciju tveršanas piezīmēs, kamēr tā vēl ir svaiga.

Ierobežojiet tveršanu ar filtru un gredzenu

Tveršana bez ierobežojumiem piepilda disku un savāc vairāk, nekā prasa jautājums. Ievietojiet atļauto avotu, galamērķi un protokolu filtrā, pēc tam ierobežojiet faila lielumu un failu skaitu.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Iepriekš minētā adrese un ports ir piemēri no dokumentācijas diapazona, tāpēc aizstājiet tos ar apstiprinātajām vērtībām un turiet logu pietiekami īsu, lai pierādījumi izdzīvotu gredzenā. Momentuzņēmuma garums nogriež kravnesību, saglabājot galvenes, kas parasti ir pietiekami savienojuma jautājumam un ir daudz vieglāk glabājams. Izlasiet kodola nomešanas rindu, ko tcpdump izdrukā izejot, jo augsts nomešanas skaits nozīmē, ka tveršana ir nepilnīga, nevis klusa. Saglabājiet nepieciešamo logu pirms gredzens to pārraksta, un pierakstiet filtra virkni blakus faila nosaukumam.

Pārvietojiet failu, nevis visu saiti

Iegūstiet pabeigto tveršanu pa pārvaldības kanālu, nevis straumējiet spoguli pa WAN. Vienu pārsūtīšanu ir vieglāk autorizēt, reģistrēt un dzēst nekā nepārtrauktu eksportu.

scp [email protected]:/var/tmp/cap.pcap ./

Turiet failu lasāmu tikai operatora kontam un izdzēsiet to no sensora, tiklīdz analīzes kopija ir pārbaudīta. Ja tiešraides eksports patiešām ir prasība, mēriet spoguļa iekapsulēšanu un transportu kopā, jo papildu noslodze var pārsniegt saites budžetu. Pierakstiet redzamības robus jebkurā gadījumā, jo tveršana ir pierādījums ar zināmu novērojuma punktu, nevis pilnīgs tīkla ieraksts.