വിദൂര പാക്കറ്റ് ക്യാപ്ചർ: സെൻസർ പ്രാദേശികമായി, അനലിസ്റ്റ് വിദൂരത്തിൽ

പാക്കറ്റ് ക്യാപ്ചർ പാക്കറ്റുകൾ ഇതിനകം ഒഴുകുന്നിടത്താണ് ഉള്ളത്, വിദൂര അനലിസ്റ്റ് അവിടെ അപൂർവ്വമായേ ഇരിക്കൂ. പ്രവർത്തിക്കാവുന്ന ക്രമീകരണം നിരീക്ഷിക്കുന്ന സെഗ്മെന്റിലെ ഒരു സെൻസറും, മുഴുവൻ പ്രതിഫലിപ്പിച്ച ലിങ്കല്ല, നിർവഹണവും വീണ്ടെടുക്കലും കൊണ്ടുപോകുന്ന ഒരു VPN-ഉം ആണ്. ഈ വിഭജനം അനലിസ്റ്റിന്റെ ലാപ്ടോപ്പിനെ ക്യാപ്ചർ പാതയ്ക്ക് പുറത്ത് നിർത്തുകയും സംവേദനക്ഷമമായ പേലോഡ് സ്ഥലത്തുതന്നെ സൂക്ഷിക്കുകയും ചെയ്യുന്നു. താഴെയുള്ള ഘട്ടങ്ങൾ ഇന്റർഫേസ് തിരഞ്ഞെടുക്കുന്നു, ഫയൽ പരിമിതപ്പെടുത്തുന്നു, ചോദ്യത്തിന് ആവശ്യമായത് മാത്രം നീക്കുന്നു.

വിദൂര ലാപ്ടോപ്പ് ഒരു ടാപ്പല്ല

VPN വഴി നെറ്റ്വർക്കിൽ ചേരുന്നത് നിങ്ങളുടെ യന്ത്രത്തിന് സെൻസറിലേക്കുള്ള വഴി നൽകുന്നു, മറ്റ് ഹോസ്റ്റുകൾക്കിടയിലെ ട്രാഫിക് കാണാനുള്ള കഴിവല്ല. നിങ്ങളുടെ ലാപ്ടോപ്പിൽ എടുത്ത ക്യാപ്ചർ ലാപ്ടോപ്പിന്റെ ഇന്റർഫേസിലേക്ക് എത്തിച്ച പാക്കറ്റുകൾ മാത്രം കാണുന്നു. സ്വിച്ച് ചെയ്ത ലിങ്ക് നിരീക്ഷിക്കാൻ നെറ്റ്വർക്ക് ഉടമ സ്ഥലത്തെ സെൻസറിനെ പോഷിപ്പിക്കുന്ന ഒരു കണ്ണാടിയോ ടാപ്പോ നൽകണം. അപ്പോഴും കണ്ണാടിക്ക് പരിധികളുണ്ട്, കാരണം അമിതഭാരമുള്ള ലക്ഷ്യങ്ങൾ ഫ്രെയിമുകൾ ഉപേക്ഷിക്കുന്നു, ഗേറ്റ്വേ അതേ VLAN-നുള്ളിൽ തുടരുന്ന ട്രാഫിക് ഒരിക്കലും കാണുന്നില്ല.

എൻക്രിപ്റ്റ് ചെയ്ത സ്ട്രീം സെൻസറിലും എൻക്രിപ്റ്റ് ചെയ്തതായി തുടരുന്നു, കാരണം TLS പേലോഡ് അറ്റങ്ങളുടേതാണ്. ക്യാപ്ചർ ഹെഡറുകളും സമയവും അളവും നൽകുന്നു, പ്ലെയിൻ ടെക്സ്റ്റല്ല.

പ്രവാഹം കാണാൻ കഴിയുന്ന ഇന്റർഫേസ് തിരഞ്ഞെടുക്കുക

എന്തെങ്കിലും ഫിൽട്ടർ ചെയ്യുന്നതിന് മുമ്പ് ഇന്റർഫേസുകൾ ലിസ്റ്റ് ചെയ്ത് ഏതാണ് നിങ്ങളോട് ചോദിച്ച പാത കൊണ്ടുപോകുന്നതെന്ന് സ്ഥിരീകരിക്കുക. ഫിസിക്കൽ പോർട്ട്, ബോണ്ട്, ബ്രിഡ്ജ് എന്നിവയ്ക്കിടയിൽ ഊഹിക്കുന്നത് കാലിയായ ഫയൽ ശേഖരിക്കാനുള്ള സാധാരണ വഴിയാണ്.

ip -br link
dumpcap -D

ഇന്റർഫേസ് നാമം മാറ്റരേഖയിലെ നിരീക്ഷണ ബിന്ദുവുമായി ചേർക്കുക, മറ്റൊരു ഹോസ്റ്റിൽ നിന്ന് ഓർമ്മയുള്ള പേരുമായി അല്ല. സേവനം വ്യക്തമായി തിരക്കിലായിരിക്കുമ്പോൾ പാക്കറ്റ് എണ്ണം പൂജ്യത്തിൽ തുടർന്നാൽ സെൻസർ തെറ്റായ സെഗ്മെന്റിലാണ്, അല്ലെങ്കിൽ കണ്ണാടി മറ്റേ ദിശയ്ക്കാണ് ക്രമീകരിച്ചിരിക്കുന്നത്. ആദ്യം അറിയപ്പെടുന്ന കൈമാറ്റത്തോടെ പാത തെളിയിക്കുക, തകർന്ന കണ്ണാടിയെ ശാന്തമായ അപ്ലിക്കേഷനായി തെറ്റിദ്ധരിക്കാതിരിക്കാൻ. ഇന്റർഫേസിന്റെയും കണ്ണാടിയുടെയും വിശദാംശങ്ങൾ പുതിയതായിരിക്കുമ്പോൾ തന്നെ ക്യാപ്ചർ കുറിപ്പുകളിൽ എഴുതുക.

ഫിൽട്ടറും വളയവും കൊണ്ട് ക്യാപ്ചർ പരിമിതപ്പെടുത്തുക

പരിധിയില്ലാത്ത ക്യാപ്ചർ ഡിസ്ക് നിറയ്ക്കുകയും ചോദ്യത്തിന് ആവശ്യമുള്ളതിലധികം ശേഖരിക്കുകയും ചെയ്യുന്നു. അനുവദിച്ച ഉറവിടം, ലക്ഷ്യം, പ്രോട്ടോക്കോൾ എന്നിവ ഫിൽട്ടറിൽ ഇടുക, തുടർന്ന് ഫയൽ വലിപ്പവും ഫയലുകളുടെ എണ്ണവും പരിമിതപ്പെടുത്തുക.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

മുകളിലെ വിലാസവും പോർട്ടും ഡോക്യുമെന്റേഷൻ ശ്രേണിയിലെ ഉദാഹരണങ്ങളാണ്, അതിനാൽ അനുവദിച്ച മൂല്യങ്ങൾ ഇടുക, തെളിവുകൾ വളയത്തിൽ നിന്ന് അതിജീവിക്കാൻ വിൻഡോ മതിയായവിധം ചെറുതാക്കുക. സ്നാപ്പ്ഷോട്ട് നീളം ഹെഡറുകൾ നിലനിർത്തി പേലോഡ് മുറിക്കുന്നു, ഇത് സാധാരണയായി കണക്റ്റിവിറ്റി ചോദ്യത്തിന് മതിയാകും, സൂക്ഷിക്കാൻ വളരെ എളുപ്പവുമാണ്. tcpdump പുറത്തുപോകുമ്പോൾ അച്ചടിക്കുന്ന കേർണൽ ഡ്രോപ്പ് വരി വായിക്കുക, കാരണം ഉയർന്ന ഡ്രോപ്പ് എണ്ണം ക്യാപ്ചർ ശാന്തമല്ല, അപൂർണ്ണമാണ് എന്നാണ് അർത്ഥം. വളയം അതിൽ എഴുതുന്നതിന് മുമ്പ് ആവശ്യമായ വിൻഡോ സംരക്ഷിക്കുക, ഫയൽ നാമത്തിന് അടുത്ത് ഫിൽട്ടർ സ്ട്രിംഗ് രേഖപ്പെടുത്തുക.

മുഴുവൻ ലിങ്കല്ല, ഫയൽ നീക്കുക

WAN-ന് കുറുകെ കണ്ണാടി സ്ട്രീം ചെയ്യുന്നതിന് പകരം നിർവഹണ ചാനലിലൂടെ പൂർത്തിയായ ക്യാപ്ചർ എടുക്കുക. ഒരു കൈമാറ്റം തുടർച്ചയായ കയറ്റുമതിയേക്കാൾ അനുവദിക്കാനും രേഖപ്പെടുത്താനും ഇല്ലാതാക്കാനും എളുപ്പമാണ്.

scp [email protected]:/var/tmp/cap.pcap ./

ഫയൽ ഓപ്പറേറ്റർ അക്കൗണ്ടിന് മാത്രം വായിക്കാവുന്നതായി സൂക്ഷിക്കുക, വിശകലന പകർപ്പ് പരിശോധിച്ച ശേഷം സെൻസറിൽ നിന്ന് ഇല്ലാതാക്കുക. തത്സമയ കയറ്റുമതി യഥാർത്ഥത്തിൽ ആവശ്യകതയാണെങ്കിൽ, കണ്ണാടി എൻക്യാപ്സുലേഷനും ഗതാഗതവും ഒരുമിച്ച് അളക്കുക, കാരണം അധികഭാരം ലിങ്ക് ബജറ്റ് കവിയാം. ഏത് സാഹചര്യത്തിലും ദൃശ്യതാ വിടവുകൾ രേഖപ്പെടുത്തുക, കാരണം ക്യാപ്ചർ അറിയപ്പെടുന്ന നിരീക്ഷണ ബിന്ദുവുള്ള തെളിവാണ്, നെറ്റ്വർക്കിന്റെ പൂർണ്ണ രേഖയല്ല.