Captura remota de pacotes: o sensor fica local, o analista trabalha à distância

A captura de pacotes pertence onde os pacotes já fluem, e o analista remoto raramente está lá. A disposição viável é um sensor no segmento observado mais uma VPN que transporta administração e recolha, não a ligação espelhada inteira. Essa separação mantém o portátil do analista fora do caminho de captura e conserva as cargas sensíveis no local. Os passos abaixo escolhem a interface, delimitam o ficheiro e movem apenas o que a pergunta precisa.

Um portátil remoto não é um tap

Entrar na rede por VPN dá à sua máquina uma rota até ao sensor, não visibilidade do tráfego entre outros anfitriões. Uma captura feita no seu portátil vê apenas os pacotes entregues à interface do portátil. Observar uma ligação comutada exige que o proprietário da rede forneça um espelho ou um tap que alimente um sensor no local. Mesmo assim o espelho tem limites, porque os destinos sobrecarregados descartam tramas e um gateway nunca vê o tráfego que fica dentro da mesma VLAN.

Um fluxo cifrado também permanece cifrado no sensor, uma vez que a carga TLS pertence aos extremos. A captura devolve cabeçalhos, tempos e volume, não texto simples.

Escolha a interface que vê o fluxo

Antes de filtrar seja o que for, liste as interfaces e confirme qual transporta o caminho sobre o qual lhe perguntaram. Adivinhar entre uma porta física, uma agregação e uma ponte é uma forma comum de recolher um ficheiro vazio.

ip -br link
dumpcap -D

Faça corresponder o nome da interface ao ponto de observação no registo de alterações, não a um nome que recorde de outro anfitrião. Se a contagem de pacotes ficar em zero enquanto o serviço está visivelmente ocupado, o sensor está no segmento errado ou o espelho está configurado para a outra direção. Prove primeiro o caminho com uma troca conhecida, para que um espelho avariado não seja confundido com uma aplicação silenciosa. Escreva os detalhes da interface e do espelho nas notas de captura enquanto ainda estão frescos.

Limite a captura com um filtro e um anel

Uma captura sem limites enche o disco e recolhe mais do que a pergunta exige. Coloque a origem, o destino e o protocolo permitidos no filtro e depois limite o tamanho do ficheiro e o número de ficheiros.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

O endereço e a porta acima são exemplos do intervalo de documentação, por isso substitua-os pelos valores aprovados e mantenha a janela curta o suficiente para que as provas sobrevivam ao anel. O comprimento da instantânea corta a carga e mantém os cabeçalhos, o que costuma bastar para uma pergunta de conectividade e é muito mais fácil de guardar. Leia a linha de descarte do núcleo que o tcpdump imprime à saída, porque um número elevado de descartes significa que a captura está incompleta e não silenciosa. Preserve a janela de que precisa antes de o anel a sobrepor e registe a cadeia de filtro junto ao nome do ficheiro.

Mova o ficheiro, não a ligação inteira

Recupere a captura terminada pelo canal de gestão em vez de transmitir o espelho pela WAN. Uma única transferência é mais fácil de autorizar, registar e apagar do que uma exportação contínua.

scp [email protected]:/var/tmp/cap.pcap ./

Mantenha o ficheiro legível apenas pela conta de operador e apague-o do sensor assim que a cópia de análise estiver verificada. Se a exportação em direto for mesmo o requisito, dimensione o encapsulamento do espelho e o transporte em conjunto, porque a sobrecarga pode exceder o orçamento da ligação. Registe as lacunas de visibilidade em qualquer caso, já que uma captura é uma prova com um ponto de observação conhecido e não um registo completo da rede.