Удалённый перехват пакетов: датчик на месте, аналитик извне

Перехват пакетов относится туда, где пакеты уже идут, а удалённый аналитик редко сидит там. Рабочая схема — датчик на наблюдаемом сегменте плюс VPN, который несёт администрирование и выгрузку, а не весь зеркалируемый канал. Такое разделение держит ноутбук аналитика вне пути перехвата и оставляет чувствительные данные на месте. Шаги ниже выбирают интерфейс, ограничивают файл и переносят только то, что нужно вопросу.

Удалённый ноутбук — не точка съёма

Подключение к сети через VPN даёт вашей машине маршрут к датчику, а не видимость трафика между другими хостами. Перехват, снятый на вашем ноутбуке, видит только пакеты, доставленные на интерфейс ноутбука. Для наблюдения за коммутируемым звеном владелец сети должен предоставить зеркало или точку съёма, питающую датчик на месте. Даже тогда у зеркала есть пределы: перегруженные получатели отбрасывают кадры, а шлюз никогда не видит трафик, остающийся внутри одного VLAN.

Зашифрованный поток остаётся зашифрованным и на датчике, так как полезная нагрузка TLS принадлежит оконечным точкам. Перехват даёт заголовки, время и объём, а не открытый текст.

Выберите интерфейс, который видит поток

Прежде чем что-либо фильтровать, перечислите интерфейсы и подтвердите, какой из них несёт путь, о котором спрашивают. Угадывание между физическим портом, агрегацией и мостом — обычный способ собрать пустой файл.

ip -br link
dumpcap -D

Сопоставьте имя интерфейса с точкой наблюдения в записи об изменениях, а не с именем, которое вы помните с другого хоста. Если счётчик пакетов остаётся нулевым, пока сервис явно занят, датчик стоит на неверном сегменте или зеркало настроено на обратное направление. Сначала докажите путь известным обменом, чтобы сломанное зеркало не приняли за тихое приложение. Запишите сведения об интерфейсе и зеркале в заметки о перехвате, пока они ещё свежи.

Ограничьте перехват фильтром и кольцом

Перехват без границ заполняет диск и собирает больше, чем требует вопрос. Внесите разрешённые источник, назначение и протокол в фильтр, затем ограничьте размер файла и число файлов.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Адрес и порт выше — примеры из документационного диапазона, поэтому подставьте утверждённые значения и держите окно достаточно коротким, чтобы доказательства пережили кольцо. Длина снимка обрезает полезную нагрузку, сохраняя заголовки, что обычно достаточно для вопроса о связности и гораздо проще хранится. Прочитайте строку сброса ядра, которую tcpdump печатает при выходе: высокое число сбросов означает, что перехват неполон, а не тих. Сохраните нужное окно до того, как кольцо его перезапишет, и запишите строку фильтра рядом с именем файла.

Переносите файл, а не всё звено

Забирайте готовый перехват по каналу управления, а не транслируйте зеркало через WAN. Одну передачу проще авторизовать, зарегистрировать и удалить, чем непрерывный экспорт.

scp [email protected]:/var/tmp/cap.pcap ./

Держите файл читаемым только для учётной записи оператора и удалите его с датчика после проверки копии для анализа. Если живой экспорт действительно обязателен, рассчитайте инкапсуляцию зеркала и транспорт вместе, так как накладные расходы могут превысить бюджет звена. Фиксируйте пробелы видимости в любом случае, ведь перехват — это доказательство с известной точкой наблюдения, а не полная запись сети.