दूरस्थ पॅकेट कॅप्चर: सेन्सर स्थानिक ठेवा, विश्लेषक दूर

पॅकेट कॅप्चर तिथेच असते जिथे पॅकेट आधीच वाहत असतात, आणि दूरस्थ विश्लेषक तिथे क्वचितच बसतो। कार्यक्षम व्यवस्था म्हणजे निरीक्षण केलेल्या विभागावरील सेन्सर आणि संपूर्ण मिरर केलेली लिंक नव्हे, तर प्रशासन व पुनर्प्राप्ती वाहून नेणारा VPN। हे विभाजन विश्लेषकाचा लॅपटॉप कॅप्चर मार्गाबाहेर ठेवते आणि संवेदनशील पेलोड जागेवरच ठेवते। खालील पायऱ्या इंटरफेस निवडतात, फाइल मर्यादित करतात आणि प्रश्नाला आवश्यक तेच हलवतात।

दूरचा लॅपटॉप टॅप नाही

VPN द्वारे नेटवर्कमध्ये सामील होणे तुमच्या मशीनला सेन्सरपर्यंत मार्ग देते, इतर होस्टमधील ट्रॅफिक पाहण्याची क्षमता नाही। तुमच्या लॅपटॉपवर घेतलेले कॅप्चर फक्त तुमच्या लॅपटॉपच्या इंटरफेसवर पोहोचवलेले पॅकेट पाहते। स्विच केलेली लिंक पाहण्यासाठी नेटवर्क मालकाने जागेवरील सेन्सरला पुरवणारा मिरर किंवा टॅप द्यावा लागतो। तरीही मिररला मर्यादा असतात, कारण अतिभारित गंतव्ये फ्रेम टाकून देतात आणि गेटवे त्याच VLAN मध्ये राहणारा ट्रॅफिक कधीच पाहत नाही।

एन्क्रिप्टेड प्रवाह सेन्सरवरही एन्क्रिप्टेड राहतो, कारण TLS पेलोड टोकांचे असते। कॅप्चर हेडर, वेळ आणि आवाज देते, साधा मजकूर नाही।

प्रवाह पाहू शकणारा इंटरफेस निवडा

काहीही फिल्टर करण्यापूर्वी इंटरफेसची यादी करा आणि तुम्हाला विचारलेला मार्ग कोणता वाहतो याची खात्री करा। भौतिक पोर्ट, बाँड आणि ब्रिजमध्ये अंदाज लावणे रिकामी फाइल गोळा करण्याचा नेहमीचा मार्ग आहे।

ip -br link
dumpcap -D

इंटरफेसचे नाव बदल नोंदीतील निरीक्षण बिंदूशी जुळवा, दुसऱ्या होस्टवरून आठवणाऱ्या नावाशी नाही। सेवा स्पष्टपणे व्यस्त असतानाही पॅकेटची गणना शून्य राहिल्यास सेन्सर चुकीच्या विभागावर आहे किंवा मिरर दुसऱ्या दिशेसाठी सेट आहे। आधी ज्ञात देवाणघेवाणीने मार्ग सिद्ध करा, जेणेकरून तुटलेला मिरर शांत अनुप्रयोग समजला जाऊ नये। इंटरफेस आणि मिररचे तपशील ताजे असतानाच कॅप्चर नोंदींमध्ये लिहा।

फिल्टर आणि रिंगने कॅप्चर मर्यादित करा

मर्यादांशिवाय कॅप्चर डिस्क भरते आणि प्रश्नाच्या गरजेपेक्षा जास्त गोळा करते। अनुमत स्रोत, गंतव्य आणि प्रोटोकॉल फिल्टरमध्ये ठेवा, नंतर फाइलचा आकार आणि फाइलांची संख्या मर्यादित करा।

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

वरील पत्ता आणि पोर्ट दस्तऐवजीकरण श्रेणीतील उदाहरणे आहेत, म्हणून मंजूर मूल्ये वापरा आणि पुरावे रिंगमधून टिकावेत म्हणून विंडो पुरेशी लहान ठेवा। स्नॅपशॉट लांबी हेडर ठेवून पेलोड कापते, जे सामान्यतः कनेक्टिव्हिटी प्रश्नासाठी पुरते आणि साठवणे खूप सोपे आहे। tcpdump बाहेर पडताना छापणारी कर्नेल ड्रॉप ओळ वाचा, कारण जास्त ड्रॉप म्हणजे कॅप्चर शांत नाही, अपूर्ण आहे। रिंग तिच्यावर लिहिण्यापूर्वी आवश्यक विंडो जतन करा आणि फाइल नावाजवळ फिल्टर स्ट्रिंग नोंदवा।

संपूर्ण लिंक नाही, फाइल हलवा

WAN वर मिरर स्ट्रीम करण्याऐवजी व्यवस्थापन चॅनेलवरून पूर्ण झालेले कॅप्चर आणा। एक हस्तांतरण सतत निर्यातीपेक्षा अधिकृत करणे, नोंदवणे आणि हटवणे सोपे आहे।

scp [email protected]:/var/tmp/cap.pcap ./

फाइल फक्त ऑपरेटर खात्यासाठी वाचनीय ठेवा आणि विश्लेषण प्रत सत्यापित झाल्यावर ती सेन्सरवरून हटवा। जिवंत निर्यात खरोखर आवश्यक असल्यास मिरर एन्कॅप्सुलेशन आणि वाहतूक एकत्र मोजा, कारण अतिरिक्त भार लिंक बजेटपेक्षा जास्त होऊ शकतो। दृश्यमानतेच्या त्रुटी कोणत्याही परिस्थितीत नोंदवा, कारण कॅप्चर ज्ञात निरीक्षण बिंदू असलेला पुरावा आहे, नेटवर्कची संपूर्ण नोंद नाही।