Далечинско фаќање пакети: сензорот на место, аналитичарот оддалеку

Фаќањето пакети припаѓа таму каде пакетите веќе течат, а оддалечениот аналитичар ретко седи таму. Изводливото решение е сензор на набљудуваниот сегмент плус VPN што пренесува администрација и преземање, а не целата огледална врска. Таа поделба го држи преносниот сметач на аналитичарот надвор од патеката на фаќање и ги чува чувствителните податоци на место. Чекорите подолу го избираат интерфејсот, ја ограничуваат датотеката и пренесуваат само тоа што му треба на прашањето.

Оддалечен преносен сметач не е точка на фаќање

Приклучувањето на мрежата преку VPN му дава на вашиот сметач маршрута до сензорот, а не видливост во сообраќајот меѓу други домаќини. Фаќање направено на вашиот преносен сметач гледа само пакети доставени до интерфејсот на сметачот. Набљудувањето на комутирана врска бара сопственикот на мрежата да обезбеди огледало или точка на фаќање што храни сензор на место. Дури и тогаш огледалото има граници, бидејќи преоптоварените одредишта исфрлаат рамки, а портата никогаш не го гледа сообраќајот што останува во истиот VLAN.

Шифрираниот тек останува шифриран и кај сензорот, бидејќи TLS товарот им припаѓа на крајните точки. Фаќањето дава заглавија, време и обем, а не чист текст.

Изберете интерфејс што може да го гледа текот

Пред да филтрирате било што, наведете ги интерфејсите и потврдете кој ја носи патеката за која ве прашаа. Погодувањето меѓу физички порт, спој и мост е чест начин да соберете празна датотека.

ip -br link
dumpcap -D

Поврзете го името на интерфејсот со набљудувачката точка во записот за промени, а не со име што го паметите од друг домаќин. Ако бројот на пакети остане нула додека услугата е видливо зафатена, сензорот стои на погрешен сегмент или огледалото е поставено за другиот правец. Прво докажете ја патеката со позната размена, за да не се смета расипано огледало за тивка апликација. Запишете ги деталите за интерфејсот и огледалото во белешките за фаќање додека се уште свежи.

Ограничете го фаќањето со филтер и прстен

Фаќање без граници го полни дискот и собира повеќе отколку што бара прашањето. Ставете ги дозволениот извор, одредиште и протокол во филтерот, потоа ограничете ја големината на датотеката и бројот на датотеки.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Адресата и портата погоре се примери од документацискиот опсег, затоа заменете ги со одобрените вредности и држете го прозорецот доволно краток за доказите да го преживеат прстенот. Должината на снимката го сече товарот додека ги задржува заглавијата, што обично е доволно за прашање за поврзаност и многу полесно за чување. Прочитајте ја линијата за отфрлање на јадрото што tcpdump ја печати при излез, бидејќи високиот број отфрлања значи дека фаќањето е нецелосно, а не тивко. Зачувајте го прозорецот што ви е потребен пред прстенот да го препише и запишете ја низата на филтерот до името на датотеката.

Преместете ја датотеката, а не целата врска

Преземете го готовото фаќање преку каналот за управување наместо да го пренесувате огледалото преку WAN. Еден пренос полесно се одобрува, евидентира и брише од постојан извоз.

scp [email protected]:/var/tmp/cap.pcap ./

Држете ја датотеката читлива само за сметката на операторот и избришете ја од сензорот откако копијата за анализа ќе се потврди. Ако живиот извоз навистина е барањето, димензионирајте ги инкапсулацијата на огледалото и транспортот заедно, бидејќи дополнителниот товар може да го надмине буџетот на врската. Запишете ги празнините во видливоста во секој случај, бидејќи фаќањето е доказ со позната набљудувачка точка, а не целосен запис за мрежата.