Zdalne przechwytywanie pakietów: czujnik na miejscu, analityk zdalnie

Przechwytywanie pakietów należy tam, gdzie pakiety już płyną, a zdalny analityk rzadko tam siedzi. Działający układ to czujnik w obserwowanym segmencie oraz VPN, który niesie administrację i pobieranie, a nie całe lustrzane łącze. Ten podział trzyma laptop analityka poza ścieżką przechwytywania i zachowuje wrażliwe dane na miejscu. Poniższe kroki wybierają interfejs, ograniczają plik i przenoszą tylko to, czego wymaga pytanie.

Zdalny laptop nie jest punktem poboru

Dołączenie do sieci przez VPN daje maszynie trasę do czujnika, a nie wgląd w ruch między innymi hostami. Przechwytywanie wykonane na laptopie widzi tylko pakiety dostarczone do interfejsu laptopa. Obserwacja przełączanego łącza wymaga, aby właściciel sieci zapewnił lustro lub punkt poboru zasilający czujnik na miejscu. Nawet wtedy lustro ma granice, bo przeciążone cele odrzucają ramki, a brama nigdy nie widzi ruchu, który pozostaje w tej samej sieci VLAN.

Zaszyfrowany strumień pozostaje zaszyfrowany także przy czujniku, ponieważ ładunek TLS należy do punktów końcowych. Przechwytywanie daje nagłówki, czas i objętość, a nie tekst jawny.

Wybierz interfejs, który widzi strumień

Zanim cokolwiek odfiltrujesz, wypisz interfejsy i potwierdź, który niesie ścieżkę, o którą pytano. Zgadywanie między portem fizycznym, agregacją i mostem to częsty sposób na zebranie pustego pliku.

ip -br link
dumpcap -D

Dopasuj nazwę interfejsu do punktu obserwacji w rejestrze zmian, a nie do nazwy pamiętanej z innego hosta. Jeśli licznik pakietów pozostaje na zero, gdy usługa jest wyraźnie zajęta, czujnik siedzi w złym segmencie albo lustro jest skonfigurowane dla przeciwnego kierunku. Najpierw udowodnij ścieżkę znaną wymianą, żeby zepsute lustro nie zostało wzięte za cichą aplikację. Zapisz szczegóły interfejsu i lustra w notatkach przechwytywania, póki są jeszcze świeże.

Ogranicz przechwytywanie filtrem i pierścieniem

Przechwytywanie bez ograniczeń zapełnia dysk i zbiera więcej, niż wymaga pytanie. Umieść dozwolone źródło, cel i protokół w filtrze, a następnie ogranicz rozmiar pliku i liczbę plików.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adres i port powyżej to przykłady z zakresu dokumentacyjnego, więc zastąp je zatwierdzonymi wartościami i utrzymuj okno wystarczająco krótkie, by dowody przetrwały pierścień. Długość migawki skraca ładunek, zachowując nagłówki, co zwykle wystarcza do pytania o łączność i znacznie łatwiej się przechowuje. Przeczytaj wiersz odrzuceń jądra, który tcpdump wypisuje przy wyjściu, bo wysoka liczba odrzuceń oznacza, że przechwytywanie jest niepełne, a nie ciche. Zachowaj potrzebne okno, zanim pierścień je nadpisze, i zapisz ciąg filtra obok nazwy pliku.

Przenieś plik, a nie całe łącze

Pobierz gotowe przechwytywanie kanałem zarządzania, zamiast strumieniować lustro przez WAN. Jedno przesłanie łatwiej autoryzować, zarejestrować i usunąć niż ciągły eksport.

scp [email protected]:/var/tmp/cap.pcap ./

Trzymaj plik czytelny tylko dla konta operatora i usuń go z czujnika, gdy kopia do analizy zostanie zweryfikowana. Jeśli eksport na żywo jest naprawdę wymaganiem, zwymiaruj enkapsulację lustra i transport razem, bo narzut może przekroczyć budżet łącza. Zapisuj luki widoczności tak czy inaczej, ponieważ przechwytywanie jest dowodem ze znanym punktem obserwacji, a nie pełnym zapisem sieci.