Mali by ste vylúčiť tok SSH zo vzdialeného zachytávania?

Zachytávanie na vzdialenom stroji, kým sledujete výstup cez to isté spojenie, je sebareferenčné meranie a skresľuje to, čo meriate. Každý paket, ktorý vytlačíte, putuje späť cez zachytávanú reláciu. Vylúčenie tohto toku je zvyčajne správne, ale veľkosť vylúčenia je skutočné rozhodnutie. Príliš úzke a zachytávanie sa samo zaplaví; príliš široké a dôkazy zmiznú.

Prečo zachytávanie zaznamenáva samo seba

Zachytávanie vidí spätnú cestu vlastného výstupu. Každý riadok vytlačený do vášho terminálu sa stane jedným alebo viacerými paketmi na riadiacom spojení, ktoré filter potom zachytí a znova vytlačí. Výsledkom je slučka, ktorá rastie, kým sa vyrovnávacia pamäť alebo spojenie nevzdajú.

Preto zachytávanie zapísané do súboru vyzerá dobre a to isté zachytávanie prenášané naživo sa stane nepoužiteľným. Prevádzka nie je nová; vytvorili ste ju vy. Desaťsekundové zachytávanie môže vyprodukovať viac výstupu, než spojenie unesie, hneď ako sa slučka začne.

Zostavte vylúčenie ako jednu skupinu

Začnite tým, ako vzdialený hostiteľ vidí vašu reláciu, nie adresou vo vašom miestnom termináli. Preskakovací hostiteľ alebo zariadenie NAT môžu z protistrany urobiť niečo, čo ste nikdy nezadali, preto čítajte adresu z vlastného pohľadu vzdialenej strany. Potom zoskupte hostiteľa a port dohromady, aby sa negácia vzťahovala na dvojicu.

tcpdump -ni eth0 '(net 10.60.0.0/24) and not (host 203.0.113.77 and tcp port 2222)'

Uvedenie celého výrazu do úvodzoviek zabráni shellu čítať zátvorky ako syntax. Vytlačte filter znova, kým výsledku uveríte.

Filter, ktorý vyzerá správne a zachová všetko

Nesprávny filter je ten, ktorý sa číta prirodzene: zdroj nie je protistrana alebo cieľ nie je protistrana. Pre paket z vašej pracovnej stanice platí prvý test; pre odpoveď druhý. Ich spojenie pomocou or zachová oba smery, čo je presne to, čo ste chceli zahodiť.

Logika filtra pcap dáva and a or rovnakú prioritu a vyhodnocuje zľava doprava, takže zátvorky nie sú voliteľné, keď ich miešate. Negujte jeden zoskupený výraz namiesto kombinovania dvoch negácií. Tá jediná zmena oddeľuje funkčný filter od zachytávania plného vlastného písania. referenčná príručka filtra pcap je dosť krátka na prečítanie v termináli a stojí za kontrolu vždy, keď sa filter správa nečakane.

Rozhodnite podľa toho, čo má zachytávanie dokázať

Rozhodnite, koľko vylúčiť, podľa toho, čo má zachytávanie dokázať. Ak potrebujete vidieť prevádzku aplikácií na toho istého hostiteľa, vylúčte len port SSH a prijmite šum iných relácií. Ak je hostiteľ pre otázku irelevantný, úplné vylúčenie je jednoduchšie a odstráni celú triedu samo generovaných paketov. Napíšte voľbu vedľa súboru zachytávania, pretože filter je predpoklad o dôkazoch.

Voľba rozhrania rozhoduje o tom, čo vôbec môžete vidieť. V tuneli vidíte vnútornú prevádzku; na fyzickom rozhraní vidíte šifrovaný transport. Ak na zvolenom mieste riadiace pakety už chýbajú, žiadne vylúčenie nezachráni zachytávanie zamerané na nesprávnu vrstvu.