Oddaljeno zajemanje paketov: senzor ostane na mestu, analitik dela na daljavo

Zajemanje paketov spada tja, kjer paketi že tečejo, in oddaljeni analitik tam redko sedi. Delujoča ureditev je senzor na opazovanem segmentu plus VPN, ki prenaša upravljanje in pridobivanje, ne pa celotne zrcaljene povezave. Ta ločitev drži prenosnik analitika zunaj poti zajemanja in občutljive podatke ohranja na mestu. Spodnji koraki izberejo vmesnik, omejijo datoteko in premaknejo le tisto, kar potrebuje vprašanje.

Oddaljeni prenosnik ni odcep

Pridružitev omrežju prek VPN da vašemu stroju pot do senzorja, ne vpogleda v promet med drugimi gostitelji. Zajemanje na vašem prenosniku vidi le pakete, dostavljene vmesniku prenosnika. Opazovanje komutirane povezave zahteva, da lastnik omrežja zagotovi zrcalo ali odcep, ki napaja senzor na mestu. Tudi takrat ima zrcalo meje, ker preobremenjeni cilji zavržejo okvire in prehod nikoli ne vidi prometa, ki ostane znotraj istega VLAN.

Šifriran tok ostane šifriran tudi pri senzorju, saj tovor TLS pripada končnim točkam. Zajemanje daje glave, čas in obseg, ne golega besedila.

Izberite vmesnik, ki vidi tok

Preden kar koli filtrirate, naštejte vmesnike in potrdite, kateri nosi pot, po kateri so vas vprašali. Ugibanje med fizičnimi vrati, združitvijo in mostom je pogost način, kako zbrati prazno datoteko.

ip -br link
dumpcap -D

Ime vmesnika uskladite z opazovalno točko v zapisu sprememb, ne z imenom, ki se ga spomnite z drugega gostitelja. Če števec paketov ostane pri ničli, medtem ko je storitev vidno zasedena, senzor stoji na napačnem segmentu ali je zrcalo nastavljeno za drugo smer. Najprej dokažite pot z znano izmenjavo, da se pokvarjeno zrcalo ne zamenja s tiho aplikacijo. Zapišite podrobnosti vmesnika in zrcala v zapiske zajemanja, dokler so še sveži.

Omejite zajemanje s filtrom in obročem

Zajemanje brez omejitev napolni disk in zbere več, kot zahteva vprašanje. V filter vstavite dovoljeni vir, cilj in protokol, nato omejite velikost datoteke in število datotek.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Naslov in vrata zgoraj so primeri iz dokumentacijskega obsega, zato ju nadomestite z odobrenimi vrednostmi in okno držite dovolj kratko, da dokazi preživijo obroč. Dolžina posnetka odreže tovor in ohrani glave, kar običajno zadošča za vprašanje o povezljivosti in je veliko lažje shraniti. Preberite vrstico o zavrženju jedra, ki jo tcpdump izpiše ob izhodu, ker visoko število zavrženj pomeni, da je zajemanje nepopolno in ne tiho. Ohranite okno, ki ga potrebujete, preden ga obroč prepiše, in zabeležite niz filtra ob imenu datoteke.

Premaknite datoteko, ne cele povezave

Prenesite končano zajemanje po upravljalnem kanalu, namesto da bi zrcalo pretakali po WAN. En prenos je lažje odobriti, zabeležiti in izbrisati kot neprekinjen izvoz.

scp [email protected]:/var/tmp/cap.pcap ./

Datoteko hranite berljivo le za operaterski račun in jo po preverjanju analitične kopije izbrišite s senzorja. Če je izvoz v živo res zahteva, dimenzionirajte inkapsulacijo zrcala in transport skupaj, ker lahko stroški presegajo proračun povezave. Vrzeli v vidnosti zabeležite v vsakem primeru, saj je zajemanje dokaz z znano opazovalno točko in ne popoln zapis omrežja.