Qbid tal-pakketti mill-bogħod: is-sensor jibqa' lokalment, l-analista mill-bogħod

Il-qbid tal-pakketti jappartjeni fejn il-pakketti diġà jiċċirkolaw, u l-analista mill-bogħod rari joqgħod hemm. L-arranġament li jaħdem huwa sensor fuq is-segment osservat flimkien ma' VPN li ġġorr amministrazzjoni u rkupru, mhux il-ħolqa kollha mirquma. Dan il-qsim iżomm il-laptop tal-analista barra mill-passaġġ tal-qbid u jżomm il-payloads sensittivi fil-post. Il-passi hawn taħt jagħżlu l-interface, jillimitaw il-fajl u jċaqalqu biss dak li teħtieġ il-mistoqsija.

Laptop mill-bogħod mhuwiex tap

Li tingħaqad man-netwerk permezz tal-VPN tagħti lill-magna tiegħek rotta sal-sensor, mhux viżibilità fit-traffiku bejn hosts oħra. Qbid meħud fuq il-laptop tiegħek jara biss pakketti mwassla lill-interface tal-laptop tiegħek. Li tosserva ħolqa commutata teħtieġ li s-sid tan-netwerk jipprovdi mera jew tap li jmantni sensor fil-post. Anki hekk il-mera għandha limiti, għax id-destinazzjonijiet soprasottoskritti jwarrbu frames u gateway qatt ma jara traffiku li jibqa' ġewwa l-istess VLAN.

Fluss b'ċifrar jibqa' wkoll b'ċifrar mas-sensor, għax il-payload TLS jappartjeni lill-endpoints. Il-qbid jagħti headers, ħin u volum, mhux test sħiħ.

Agħżel l-interface li tista' tara l-fluss

Qabel ma tiffiltra xejn, elenka l-interfaces u kkonferma liema waħda ġġorr il-passaġġ li ntalabt dwaru. L-istejjer bejn port fiżiku, bond u pont huwa mod komuni kif tiġbor fajl vojt.

ip -br link
dumpcap -D

Qabbel l-isem tal-interface mal-punt tal-osservazzjoni fir-rekord tal-bidliet, mhux ma' isem li tiftakar minn host ieħor. Jekk l-għadd tal-pakketti jibqa' żero waqt li s-servizz huwa viżibbilment okkupat, is-sensor jinsab fuq is-segment żbaljat jew il-mera hija kkonfigurata għad-direzzjoni l-oħra. Ipprova l-passaġġ l-ewwel bi skambju magħruf, biex mera miksura ma titteħidx bħala applikazzjoni kwieta. Ikteb id-dettalji tal-interface u tal-mera fin-noti tal-qbid waqt li għadhom friski.

Illimita l-qbid b'filtru u ċirku

Qbid mingħajr limiti jimla d-diska u jiġbor aktar milli teħtieġ il-mistoqsija. Qiegħed is-sors, id-destinazzjoni u l-protokoll permessi fil-filtru, imbagħad illimita d-daqs tal-fajl u l-għadd ta' fajls.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

L-indirizz u l-port hawn fuq huma eżempji mill-firxa tad-dokumentazzjoni, għalhekk ibdilhom bil-valuri approvati u żomm it-tieqa qasira biżżejjed biex l-evidenza tgħaddi miċ-ċirku. It-tul tas-snapshot jaqta' l-payload filwaqt li jżomm il-headers, li normalment huwa biżżejjed għal mistoqsija dwar il-konnettività u ħafna aktar faċli biex tinħażen. Aqra l-linja tad-drop tal-kernel li t-tcpdump tistampa mal-ħruġ, għax għadd għoli ta' drop ifisser li l-qbid mhuwiex sħiħ u mhux kwiet. Ippreserva t-tieqa li għandek bżonn qabel ma ċ-ċirku jikteb fuqha, u rreġistra l-string tal-filtru ħdejn l-isem tal-fajl.

Ċaqlaq il-fajl, mhux il-ħolqa kollha

Irkupra l-qbid lest permezz tal-kanal tal-amministrazzjoni minflok ma tistrimja l-mera fuq il-WAN. Trasferiment wieħed huwa aktar faċli biex jiġi awtorizzat, reġistrat u mħassar minn esportazzjoni kontinwa.

scp [email protected]:/var/tmp/cap.pcap ./

Żomm il-fajl jinqara biss mill-kont tal-operatur, u ħassru mis-sensor ladarba l-kopja tal-analiżi tiġi vverifikata. Jekk l-esportazzjoni ħajja hija tassew il-ħtieġa, ikkalkula l-inkapsulament tal-mera u t-trasport flimkien, għax l-overhead jista' jaqbeż il-baġit tal-ħolqa. Irreġistra l-vojt fil-viżibilità b'kull mod, għax il-qbid huwa prova b'punt tal-osservazzjoni magħruf u mhux rekord sħiħ tan-netwerk.