Fjernopptak av pakker: sensoren blir lokalt, analytikeren jobber eksternt

Pakkefangst hører til der pakkene allerede flyter, og den eksterne analytikeren sitter sjelden der. Den brukbare ordningen er en sensor på det observerte segmentet pluss en VPN som bærer administrasjon og henting, ikke hele den speilede lenken. Denne delingen holder analytikerens bærbare ute av opptaksveien og holder følsomme data på stedet. Trinnene nedenfor velger grensesnittet, avgrenser filen og flytter bare det spørsmålet trenger.

En ekstern bærbar er ikke et tapp

Å slutte seg til nettverket over VPN gir maskinen din en rute til sensoren, ikke innsyn i trafikk mellom andre verter. Et opptak tatt på den bærbare ser bare pakker levert til den bærbares grensesnitt. Å overvåke en svitsjet lenke krever at nettverkseieren skaffer et speil eller et tapp som mater en sensor på stedet. Selv da har speilet grenser, fordi overtegnede destinasjoner dropper rammer, og en gateway ser aldri trafikk som blir inne i samme VLAN.

En kryptert strøm forblir også kryptert ved sensoren, siden TLS-nyttelasten tilhører endepunktene. Opptaket gir headere, timing og volum, ikke klartekst.

Velg grensesnittet som kan se strømmen

Før du filtrerer noe, list opp grensesnittene og bekreft hvilket som bærer veien du ble spurt om. Å gjette mellom en fysisk port, en bond og en bro er en vanlig måte å samle en tom fil.

ip -br link
dumpcap -D

Knytt grensesnittnavnet til observasjonspunktet i endringsloggen, ikke til et navn du husker fra en annen vert. Hvis pakketellingen blir stående på null mens tjenesten tydelig er opptatt, sitter sensoren på feil segment, eller speilet er konfigurert for den andre retningen. Bevis veien først med en kjent utveksling, slik at et ødelagt speil ikke forveksles med en stille applikasjon. Skriv grensesnitt- og speildetaljene i opptaksnotatene mens de ennå er ferske.

Avgrens opptaket med et filter og en ring

Et opptak uten grenser fyller disken og samler mer enn spørsmålet krever. Sett den tillatte kilden, destinasjonen og protokollen i filteret, og begrens deretter filstørrelsen og antall filer.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adressen og porten ovenfor er eksempler fra dokumentasjonsområdet, så bytt dem ut med de godkjente verdiene og hold vinduet kort nok til at beviset overlever ringen. Snapshotlengden kutter nyttelasten og beholder headerne, noe som vanligvis er nok for et spørsmål om tilkobling og mye lettere å lagre. Les kjernens drop-linje som tcpdump skriver ut ved avslutning, fordi et høyt droptall betyr at opptaket er ufullstendig og ikke stille. Bevar vinduet du trenger før ringen overskriver det, og noter filterstrengen ved siden av filnavnet.

Flytt filen, ikke hele lenken

Hent det ferdige opptaket over administrasjonskanalen i stedet for å strømme speilet over WAN. Én overføring er lettere å autorisere, logge og slette enn en kontinuerlig eksport.

scp [email protected]:/var/tmp/cap.pcap ./

Hold filen lesbar bare for operatørkontoen, og slett den fra sensoren når analysekopien er verifisert. Hvis live-eksport virkelig er kravet, dimensjoner speilinnkapslingen og transporten sammen, fordi overhead kan overstige lenkebudsjettet. Noter synlighetshullene uansett, siden et opptak er bevis med et kjent observasjonspunkt og ikke en fullstendig registrering av nettverket.