टाढाबाट प्याकेट क्याप्चर: सेन्सर स्थानीय राख्नुहोस्, विश्लेषक टाढा

प्याकेट क्याप्चर त्यहीँ हुन्छ जहाँ प्याकेट पहिल्यै बगिरहेका हुन्छन्, र टाढाको विश्लेषक त्यहाँ विरलै बस्छ। काम गर्न सकिने व्यवस्था निगरानी गरिएको खण्डमा रहेको सेन्सर र सम्पूर्ण मिरर गरिएको लिङ्क होइन, प्रशासन र पुनःप्राप्ति बोक्ने VPN हो। यो विभाजनले विश्लेषकको ल्यापटपलाई क्याप्चर मार्गबाट बाहिर राख्छ र संवेदनशील पेलोड साइटमै राख्छ। तलका चरणहरूले इन्टरफेस छान्छन्, फाइल सीमित गर्छन् र प्रश्नलाई चाहिने मात्र सार्छन्।

टाढाको ल्यापटप ट्याप होइन

VPN मार्फत नेटवर्कमा सामेल हुनुले तपाईंको मेसिनलाई सेन्सरसम्म मार्ग दिन्छ, अन्य होस्टबीचको ट्राफिक देख्ने क्षमता होइन। तपाईंको ल्यापटपमा लिइएको क्याप्चरले तपाईंको ल्यापटपको इन्टरफेसमा पुर्याइएका प्याकेट मात्र देख्छ। स्विच गरिएको लिङ्क अवलोकन गर्न नेटवर्क मालिकले साइटको सेन्सरलाई खुवाउने मिरर वा ट्याप उपलब्ध गराउनुपर्छ। त्यसो गर्दा पनि मिररका सीमा हुन्छन्, किनकि अत्यधिक भार भएका गन्तव्यहरूले फ्रेम छोड्छन् र गेटवेले एउटै VLAN भित्र रहने ट्राफिक कहिल्यै देख्दैन।

इन्क्रिप्टेड प्रवाह सेन्सरमा पनि इन्क्रिप्टेड रहन्छ, किनकि TLS पेलोड अन्त्य बिन्दुहरूको हो। क्याप्चरले हेडर, समय र मात्रा दिन्छ, सादा पाठ होइन।

प्रवाह देख्न सक्ने इन्टरफेस छान्नुहोस्

केही पनि फिल्टर गर्नुअघि इन्टरफेसहरू सूचीबद्ध गर्नुहोस् र तपाईंलाई सोधिएको मार्ग कुनले बोक्छ भनी पुष्टि गर्नुहोस्। भौतिक पोर्ट, बन्ड र पुलबीच अनुमान गर्नु खाली फाइल संकलन गर्ने सामान्य तरिका हो।

ip -br link
dumpcap -D

इन्टरफेसको नाम परिवर्तन अभिलेखको अवलोकन बिन्दुसँग मिलाउनुहोस्, अर्को होस्टबाट सम्झिएको नामसँग होइन। सेवा स्पष्ट रूपमा व्यस्त हुँदा पनि प्याकेट गणना शून्य रह्यो भने सेन्सर गलत खण्डमा छ वा मिरर अर्को दिशाका लागि सेट गरिएको छ। पहिले ज्ञात आदानप्रदानले मार्ग प्रमाणित गर्नुहोस्, ताकि भाँचिएको मिररलाई शान्त अनुप्रयोग ठानी नपरोस्। इन्टरफेस र मिररको विवरण ताजा छँदै क्याप्चर टिप्पणीमा लेख्नुहोस्।

फिल्टर र रिङले क्याप्चर सीमित गर्नुहोस्

सीमा नभएको क्याप्चरले डिस्क भर्छ र प्रश्नले आवश्यक ठानेभन्दा बढी संकलन गर्छ। अनुमत स्रोत, गन्तव्य र प्रोटोकल फिल्टरमा राख्नुहोस्, त्यसपछि फाइलको आकार र फाइल संख्या सीमित गर्नुहोस्।

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

माथिको ठेगाना र पोर्ट कागजात दायराका उदाहरण हुन्, त्यसैले स्वीकृत मानहरू राख्नुहोस् र प्रमाण रिङबाट बाँच्ने गरी विन्डो पर्याप्त छोटो राख्नुहोस्। स्न्यापसट लम्बाइले हेडर राखी पेलोड काट्छ, जुन सामान्यतया जडानसम्बन्धी प्रश्नका लागि पर्याप्त हुन्छ र भण्डारण गर्न धेरै सजिलो छ। tcpdump बाहिरिँदा छाप्ने कर्नेल ड्रप लाइन पढ्नुहोस्, किनकि उच्च ड्रप संख्या भनेको क्याप्चर शान्त होइन, अपूर्ण छ। रिङले माथि लेख्नुअघि आवश्यक विन्डो सुरक्षित राख्नुहोस् र फाइल नामको छेउमा फिल्टर स्ट्रिङ लेख्नुहोस्।

पूरै लिङ्क होइन, फाइल सार्नुहोस्

WAN मा मिरर स्ट्रिम गर्नुभन्दा व्यवस्थापन च्यानलबाट तयार क्याप्चर ल्याउनुहोस्। एउटा स्थानान्तरण निरन्तर निर्यातभन्दा अधिकृत गर्न, लग गर्न र मेट्न सजिलो हुन्छ।

scp [email protected]:/var/tmp/cap.pcap ./

फाइललाई अपरेटर खाताका लागि मात्र पढ्न मिल्ने राख्नुहोस्, र विश्लेषण प्रतिलिपि प्रमाणित भएपछि सेन्सरबाट मेट्नुहोस्। यदि प्रत्यक्ष निर्यात साँच्चै आवश्यकता हो भने मिरर इन्क्याप्सुलेसन र ढुवानी सँगै नाप्नुहोस्, किनकि अतिरिक्त भारले लिङ्क बजेट नाघ्न सक्छ। जुनसुकै हालतमा दृश्यता अन्तरालहरू लेख्नुहोस्, किनकि क्याप्चर ज्ञात अवलोकन बिन्दु भएको प्रमाण हो, नेटवर्कको पूर्ण अभिलेख होइन।