Captură de pachete la distanță: senzorul rămâne local, analistul lucrează de la distanță

Captura de pachete aparține acolo unde pachetele curg deja, iar analistul la distanță stă rareori acolo. Aranjamentul viabil este un senzor pe segmentul observat plus un VPN care transportă administrare și recuperare, nu întreaga legătură oglindită. Această separare ține laptopul analistului în afara căii de captură și păstrează încărcăturile sensibile la fața locului. Pașii de mai jos aleg interfața, delimitează fișierul și mută doar ce are nevoie întrebarea.

Un laptop de la distanță nu este un tap

Alăturarea la rețea prin VPN îi dă mașinii dumneavoastră o rută către senzor, nu vizibilitate asupra traficului dintre alte gazde. O captură făcută pe laptopul dumneavoastră vede doar pachetele livrate interfeței laptopului. Observarea unei legături comutate cere ca proprietarul rețelei să furnizeze o oglindă sau un punct de captură care alimentează un senzor la fața locului. Chiar și atunci oglinda are limite, pentru că destinațiile suprasolicitate aruncă cadre, iar o poartă nu vede niciodată traficul care rămâne în același VLAN.

Un flux criptat rămâne criptat și la senzor, deoarece încărcătura TLS aparține punctelor terminale. Captura oferă anteturi, timp și volum, nu text clar.

Alegeți interfața care vede fluxul

Înainte de a filtra orice, listați interfețele și confirmați care transportă calea despre care ați fost întrebat. Ghicitul între un port fizic, o agregare și un pod este o modalitate obișnuită de a colecta un fișier gol.

ip -br link
dumpcap -D

Potriviți numele interfeței cu punctul de observație din registrul de modificări, nu cu un nume pe care îl țineți minte de la altă gazdă. Dacă numărul de pachete rămâne zero în timp ce serviciul este vizibil ocupat, senzorul stă pe segmentul greșit sau oglinda este configurată pentru cealaltă direcție. Dovediți mai întâi calea cu un schimb cunoscut, ca o oglindă defectă să nu fie confundată cu o aplicație tăcută. Scrieți detaliile interfeței și ale oglinzii în notele capturii cât timp sunt încă proaspete.

Limitați captura cu un filtru și un inel

O captură fără limite umple discul și colectează mai mult decât cere întrebarea. Puneți sursa, destinația și protocolul permise în filtru, apoi limitați dimensiunea fișierului și numărul de fișiere.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adresa și portul de mai sus sunt exemple din intervalul de documentare, așa că înlocuiți-le cu valorile aprobate și țineți fereastra destul de scurtă încât dovezile să supraviețuiască inelului. Lungimea instantaneului taie încărcătura păstrând anteturile, ceea ce de obicei este suficient pentru o întrebare de conectivitate și mult mai ușor de stocat. Citiți linia de aruncare a nucleului pe care tcpdump o tipărește la ieșire, pentru că un număr mare de aruncări înseamnă că captura este incompletă, nu tăcută. Păstrați fereastra de care aveți nevoie înainte ca inelul să o suprascrie și notați șirul filtrului lângă numele fișierului.

Mutați fișierul, nu întreaga legătură

Recuperați captura terminată prin canalul de administrare în loc să transmiteți oglinda prin WAN. O singură transfer este mai ușor de autorizat, de înregistrat și de șters decât o exportare continuă.

scp [email protected]:/var/tmp/cap.pcap ./

Țineți fișierul lizibil doar pentru contul operatorului și ștergeți-l de pe senzor după ce copia pentru analiză este verificată. Dacă exportul în direct este cu adevărat cerința, dimensionați împreună încapsularea oglinzii și transportul, pentru că supraîncărcarea poate depăși bugetul legăturii. Notați lipsurile de vizibilitate în orice caz, pentru că o captură este o dovadă cu un punct de observație cunoscut, nu o înregistrare completă a rețelei.