Vzdialené zachytávanie paketov: senzor zostáva na mieste, analytik pracuje na diaľku

Zachytávanie paketov patrí tam, kde pakety už prúdia, a vzdialený analytik tam málokedy sedí. Fungujúce usporiadanie je senzor na sledovanom segmente plus VPN, ktorá nesie správu a sťahovanie, nie celé zrkadlené spojenie. Toto rozdelenie drží notebook analytika mimo cesty zachytávania a citlivé údaje necháva na mieste. Kroky nižšie vyberajú rozhranie, obmedzujú súbor a presúvajú len to, čo otázka potrebuje.

Vzdialený notebook nie je odbočka

Pripojenie k sieti cez VPN dáva vášmu stroju trasu k senzoru, nie viditeľnosť prevádzky medzi inými hostiteľmi. Zachytávanie na vašom notebooku vidí len pakety doručené rozhraniu notebooku. Sledovanie prepínaného spoja vyžaduje, aby správca siete zabezpečil zrkadlo alebo odbočku napájajúcu senzor na mieste. Aj tak má zrkadlo limity, pretože preťažené ciele zahadzujú rámce a brána nikdy nevidí prevádzku, ktorá zostáva v tej istej VLAN.

Šifrovaný tok zostáva šifrovaný aj na senzore, keďže dátová časť TLS patrí koncovým bodom. Zachytávanie dáva hlavičky, časovanie a objem, nie otvorený text.

Vyberte rozhranie, ktoré vidí tok

Skôr než čokoľvek filtrujete, vypíšte rozhrania a potvrďte, ktoré nesie cestu, na ktorú sa pýtali. Hádanie medzi fyzickým portom, zlúčením a mostom je bežný spôsob, ako získať prázdny súbor.

ip -br link
dumpcap -D

Priraďte názov rozhrania k pozorovaciemu bodu v zázname zmien, nie k názvu, ktorý si pamätáte z iného hostiteľa. Ak počet paketov zostane nula, kým je služba viditeľne zaneprázdnená, senzor sedí na nesprávnom segmente alebo je zrkadlo nastavené pre opačný smer. Najprv dokážte cestu známou výmenou, aby si pokazené zrkadlo nepomýlili s tichou aplikáciou. Zapíšte údaje o rozhraní a zrkadle do poznámok k zachytávaniu, kým sú ešte čerstvé.

Obmedzte zachytávanie filtrom a kruhom

Zachytávanie bez obmedzení zaplní disk a zhromaždí viac, než otázka vyžaduje. Vložte povolený zdroj, cieľ a protokol do filtra, potom obmedzte veľkosť súboru a počet súborov.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adresa a port vyššie sú príklady z dokumentačného rozsahu, preto ich nahraďte schválenými hodnotami a udržujte okno dosť krátke, aby dôkazy prežili kruh. Dĺžka snímky skracuje dátovú časť a zachováva hlavičky, čo zvyčajne stačí na otázku o konektivite a oveľa ľahšie sa ukladá. Prečítajte riadok o zahadzovaní jadra, ktorý tcpdump vypíše pri ukončení, pretože vysoký počet zahodení znamená, že zachytávanie je neúplné, a nie tiché. Uchovajte okno, ktoré potrebujete, kým ho kruh prepíše, a poznamenajte reťazec filtra vedľa názvu súboru.

Presúvajte súbor, nie celé spojenie

Stiahnite hotové zachytávanie cez riadiaci kanál namiesto streamovania zrkadla cez WAN. Jeden prenos sa ľahšie autorizuje, zaznamená a vymaže než nepretržitý export.

scp [email protected]:/var/tmp/cap.pcap ./

Súbor nechajte čitateľný len pre účet operátora a po overení analytickej kópie ho zo senzora vymažte. Ak je živý export skutočne požiadavka, dimenzujte zapuzdrenie zrkadla a prenos spoločne, pretože réžia môže prekročiť rozpočet spoja. Medzery vo viditeľnosti zapisujte tak či tak, pretože zachytávanie je dôkaz so známym pozorovacím bodom, nie úplný záznam siete.