Tangkapan paket jauh: sensor kekal setempat, penganalisis di jauh

Tangkapan paket berada di tempat paket sudah mengalir, dan penganalisis jauh jarang duduk di situ. Susunan yang boleh dilaksanakan ialah sensor pada segmen yang diperhatikan serta VPN yang membawa pentadbiran dan pengambilan, bukan keseluruhan pautan yang dicerminkan. Pemisahan itu menjauhkan komputer riba penganalisis daripada laluan tangkapan dan menyimpan muatan sensitif di tapak. Langkah di bawah memilih antara muka, menghadkan fail dan memindahkan hanya apa yang diperlukan oleh soalan.

Komputer riba jauh bukan tap

Menyertai rangkaian melalui VPN memberi mesin anda laluan ke sensor, bukan keterlihatan ke dalam trafik antara hos lain. Tangkapan yang diambil pada komputer riba anda hanya melihat paket yang dihantar ke antara muka komputer riba anda. Memerhati pautan bersuis memerlukan pemilik rangkaian menyediakan cermin atau paip yang menyuap sensor di tapak. Walaupun begitu cermin mempunyai had, kerana destinasi terlebih langgan menggugurkan bingkai dan gateway tidak pernah melihat trafik yang kekal dalam VLAN yang sama.

Aliran disulitkan juga kekal disulitkan di sensor, kerana muatan TLS milik titik akhir. Tangkapan menghasilkan pengepala, masa dan isipadu, bukan teks biasa.

Pilih antara muka yang boleh melihat aliran

Sebelum menapis apa-apa, senaraikan antara muka dan sahkan yang mana membawa laluan yang ditanyakan. Meneka antara port fizikal, ikatan dan jambatan ialah cara biasa mengumpul fail kosong.

ip -br link
dumpcap -D

Padankan nama antara muka dengan titik pemerhatian dalam rekod perubahan, bukan dengan nama yang anda ingat dari hos lain. Jika kiraan paket kekal sifar sementara perkhidmatan jelas sibuk, sensor berada pada segmen yang salah atau cermin dikonfigurasikan untuk arah lain. Buktikan laluan dahulu dengan pertukaran yang diketahui, supaya cermin rosak tidak disalah anggap sebagai aplikasi senyap. Tulis butiran antara muka dan cermin dalam nota tangkapan semasa ia masih segar.

Hadkan tangkapan dengan penapis dan cincin

Tangkapan tanpa had memenuhi cakera dan mengumpul lebih daripada yang diperlukan oleh soalan. Letakkan sumber, destinasi dan protokol yang dibenarkan dalam penapis, kemudian hadkan saiz fail dan bilangan fail.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Alamat dan port di atas ialah contoh daripada julat dokumentasi, jadi gantikan dengan nilai yang diluluskan dan kekalkan tetingkap cukup pendek supaya bukti bertahan selepas cincin. Panjang petikan memotong muatan sambil mengekalkan pengepala, yang biasanya cukup untuk soalan kesambungan dan jauh lebih mudah disimpan. Baca baris penurunan kernel yang dicetak tcpdump semasa keluar, kerana bilangan penurunan yang tinggi bermakna tangkapan tidak lengkap, bukan senyap. Simpan tetingkap yang anda perlukan sebelum cincin menimpanya, dan catat rentetan penapis di sebelah nama fail.

Pindahkan fail, bukan seluruh pautan

Ambil tangkapan yang siap melalui saluran pengurusan dan bukannya menstrim cermin melalui WAN. Satu pemindahan lebih mudah dibenarkan, direkod dan dipadam daripada eksport berterusan.

scp [email protected]:/var/tmp/cap.pcap ./

Kekalkan fail boleh dibaca hanya oleh akaun pengendali, dan padamkannya daripada sensor selepas salinan analisis disahkan. Jika eksport langsung benar-benar keperluan, ukur enkapsulasi cermin dan pengangkutan bersama, kerana overhed boleh melebihi belanjawan pautan. Catat jurang keterlihatan juga, kerana tangkapan ialah bukti dengan titik pemerhatian yang diketahui dan bukan rekod lengkap rangkaian.