Fluss wieħed, erba’ confini: insibu l-aħħar pakkett

Naħa tgħid li bagħtet it-traffiku; in-naħa l-oħra tgħid li ma wasal imkien. Dan il-par ta’ stqarrijiet jidher bħal kontradizzjoni u normalment huwa biss żewġ kejl differenti. Għadd ta’ pakketti, log tal-firewall u qabda jiddeskrivu saffi differenti, u t-tqabbil tagħhom mingħajr tikketti jipproduċi suspettat minflok post. Ibnu r-rapport madwar fluss wieħed u l-punti ta’ osservazzjoni tiegħu.

Għadd mingħajr kuntest jipprova ftit

Gateway li jirrapporta bytes ħerġin mhuwiex prova li t-tarf imbiegħed irċieva talba speċifika. L-għadd jista’ jinkludi flussi oħra, żminijiet oħra jew saff ieħor ta’ inkapsulament. Għadd li jiżdied waqt li d-destinazzjoni ma tara xejn xorta jista’ jkun korrett, għax kejjel mistoqsija oħra. Qabel ma tqabbel xejn, iffissa l-fluss, it-tieqa u s-saff.

Żewġ numri minn saffi differenti jistgħu jaqblu b’mod onest. Id-differenza hija l-bidu tal-investigazzjoni, mhux il-konklużjoni.

Ittikketti kull punt ta’ osservazzjoni

Għal kull osservazzjoni, irreġistra l-apparat, l-interface jew il-hook, id-direzzjoni, ir-referenza tal-arloġġ u jekk turix traffiku intern jew it-trasport estern. Log tal-firewall fuq il-host u qabda fuq l-uplink huma provi differenti anki meta jifirduhom sekondi. It-tikketta hija dik li tippermetti lil inġinier ieħor jirriproduċi l-veduta.

Żomm il-problema tal-arloġġ viżibbli. L-arloġġi jidderivaw, u timestamp meħud fuq host wieħed jista’ ma jkunx direttament paragunabbli ma’ ieħor. Jekk il-hosts ma jistgħux jiġu sinkronizzati, dawwar il-prova b’timestamps mit-tnejn u uża l-ordni minflok il-valur assolut. Innota l-offset li kejjejt minflok taġġusta l-ħinijiet bil-qiet.

Qabbel il-fields li l-punt verament jikxef

Qabbel indirizzi u fields tal-protokoll f’punti li verament jikxfuhom. Ikkunsidra t-traduzzjoni intenzjonata, għax tuple miktuba mill-ġdid għadha l-istess konversazzjoni. Għal test Echo IPv4 awtorizzat, id-definizzjoni RFC 792 tagħti fields ta’ identifikatur u sekwenza li jgħinu biex jitqabblu talbiet u tweġibiet. Żomm ukoll l-indirizzi u t-tieqa, għax valur ta’ sekwenza waħdu mhuwiex identità unika.

tcpdump -ni eth0 -c 20 'host 198.51.100.20 and icmp'
tcpdump -ni tun0 -c 20 'host 10.90.0.5 and tcp port 443'

Fejn ir-riġel estern huwa encrypted, żomm il-konversazzjoni mal-peer u d-direzzjoni tiegħu f’rekord separat. Mhuwiex mistenni li l-identifikatur Echo intern jibqa’ ħaj barra fl-istess forma. L-għadd estern u intern m’għandhomx jitqabblu mingħajr ma tiġi ddikjarata r-rappreżentazzjoni.

Irrapporta l-intervall nieqes, mhux suspettat

Osservazzjoni nieqsa hija prova limitata, mhux prova ta’ waqgħa fuq dak l-apparat. Filtri, it-tqegħid tal-qabda, data tal-qabda mitlufa u tieqa li tilfet il-prova kollha jipproduċu rekord mhux komplet. Għid x’inhu nieqes u bejn liema confini. In-nuqqas jeħtieġ ukoll skadenza, għalhekk iddikjara kemm osservajt u x’kellu jidher.

L-allegazzjoni tan-naħa l-oħra li hija bagħtet it-traffiku ’l quddiem hija kuntest, qatt osservazzjoni. Għaddi l-fluss, it-timestamps, il-confini ttikkettati u eżempju dejjaq wieħed. Żomm ir-rapport qasir biżżejjed biex l-osservazzjoni mitluba tidher. Dan ibiddel it-talba li jmiss fi kejl preċiż minflok akkuża.

Poġġi l-kejl mitlub f’sentenza waħda. Imbagħad waqqaf il-kitba.