Fjerntaking av pakkar: sensoren blir lokal, analytikaren arbeider eksternt

Pakkeopptak høyrer til der pakkane allereie flyt, og den eksterne analytikaren sit sjeldan der. Den brukbare ordninga er ein sensor på det observerte segmentet pluss ein VPN som ber administrasjon og henting, ikkje heile den spegla lenkja. Denne delinga held den bereknelege maskinen til analytikaren utanfor opptaksvegen og held kjenslevare data på staden. Trinnet nedanfor vel grensesnittet, avgrensar fila og flyttar berre det spørsmålet treng.

Ein ekstern berbar er ikkje eit tapp

Å slutte seg til nettet over VPN gjev maskinen din ei rute til sensoren, ikkje innsyn i trafikk mellom andre vertar. Eit opptak teke på den bereknelege maskinen ser berre pakkar leverte til grensesnittet hennar. Å overvake ei svitsja lenkje krev at netteigaren skaffar eit spegel eller eit tapp som matar ein sensor på staden. Sjølv då har spegelen grenser, fordi overteikna destinasjonar droppar rammer, og ein gateway ser aldri trafikk som blir inne i same VLAN.

Ein kryptert straum blir òg verande kryptert ved sensoren, sidan TLS-nyttelasta høyrer til endepunkta. Opptaket gjev headers, timing og volum, ikkje klartekst.

Vel grensesnittet som kan sjå straumen

Før du filtrerer noko, list opp grensesnitta og stadfest kva for eitt som ber vegen du vart spurd om. Å gjette mellom ein fysisk port, ein bond og ei bru er ein vanleg måte å samle ei tom fil.

ip -br link
dumpcap -D

Knyt grensesnittnamnet til observasjonspunktet i endringsloggen, ikkje til eit namn du hugsar frå ein annan vert. Viss pakketeljinga blir ståande på null medan tenesta tydeleg er oppteken, sit sensoren på feil segment, eller spegelen er sett opp for den andre retninga. Prov vegen først med ein kjend utveksling, slik at ein øydelagd spegel ikkje blir forveksla med ein stille applikasjon. Skriv grensesnitt- og spegeldetaljane i opptaksnotata medan dei enno er ferske.

Avgrens opptaket med eit filter og ein ring

Eit opptak utan grenser fyller disken og samlar meir enn spørsmålet krev. Set den tillatne kjelda, destinasjonen og protokollen i filteret, og avgrens deretter filstorleiken og talet på filer.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adressa og porten ovanfor er døme frå dokumentasjonsområdet, så byt dei ut med dei godkjende verdiane og hald vindauget kort nok til at prova overlever ringen. Snapshotlengda kuttar nyttelasta og held på headera, noko som vanlegvis er nok for eit spørsmål om tilkopling og mykje lettare å lagre. Les drop-linja til kjernen som tcpdump skriv ut ved avslutning, fordi eit høgt droptal tyder på at opptaket er ufullstendig og ikkje stille. Ta vare på vindauget du treng før ringen skriv over det, og noter filterstrengen ved sida av filnamnet.

Flytt fila, ikkje heile lenkja

Hent det ferdige opptaket over administrasjonskanalen i staden for å strøyme spegelen over WAN. Éi overføring er lettare å autorisere, logge og slette enn ein kontinuerleg eksport.

scp [email protected]:/var/tmp/cap.pcap ./

Hald fila lesbar berre for operatørkontoen, og slett ho frå sensoren når analysekopien er stadfesta. Viss live-eksport verkeleg er kravet, dimensjoner spegelinnkapslinga og transporten saman, fordi overhead kan overstige lenkjebudsjettet. Noter synlegheitshola uansett, sidan eit opptak er prov med eit kjent observasjonspunkt og ikkje ei fullstendig registrering av nettet.