Kapja e paketave në distancë: sensori qëndron lokalisht, analisti në distancë

Kapja e paketave i takon vendit ku paketat tashmë rrjedhin, dhe analisti në distancë rrallë rri atje. Rregullimi i zbatueshëm është një sensor në segmentin e vëzhguar plus një VPN që mbart administrimin dhe tërheqjen, jo të gjithë lidhjen e pasqyruar. Kjo ndarje e mban laptopin e analistit jashtë rrugës së kapjes dhe i mban ngarkesat e ndjeshme në vend. Hapat më poshtë zgjedhin ndërfaqen, kufizojnë skedarin dhe lëvizin vetëm atë që i duhet pyetjes.

Një laptop në distancë nuk është tap

Bashkimi me rrjetin përmes VPN i jep makinës suaj një rrugë drejt sensorit, jo dukshmëri në trafikun midis hosteve të tjerë. Një kapje e bërë në laptopin tuaj sheh vetëm paketat e dorëzuara në ndërfaqen e laptopit tuaj. Vëzhgimi i një lidhjeje të komutuar kërkon që pronari i rrjetit të sigurojë një pasqyrë ose një pikë kapjeje që ushqen një sensor në vend. Edhe atëherë pasqyra ka kufij, sepse destinacionet e mbingarkuara hedhin poshtë kornizat dhe një portë nuk e sheh kurrë trafikun që mbetet brenda të njëjtit VLAN.

Një rrjedhë e koduar mbetet e koduar edhe në sensor, pasi ngarkesa TLS u përket pikave fundore. Kapja jep titujt, kohën dhe vëllimin, jo tekst të thjeshtë.

Zgjidhni ndërfaqen që e sheh rrjedhën

Përpara se të filtroni çdo gjë, listoni ndërfaqet dhe konfirmoni cila mbart rrugën për të cilën ju pyetën. Të hamendësosh midis një porte fizike, një agregimi dhe një ure është një mënyrë e zakonshme për të mbledhur një skedar bosh.

ip -br link
dumpcap -D

Përputhni emrin e ndërfaqes me pikën e vëzhgimit në regjistrin e ndryshimeve, jo me një emër që e mbani mend nga një host tjetër. Nëse numri i paketave mbetet zero ndërsa shërbimi është dukshëm i zënë, sensori ndodhet në segmentin e gabuar ose pasqyra është konfiguruar për drejtimin tjetër. Vërtetoni fillimisht rrugën me një shkëmbim të njohur, që një pasqyrë e prishur të mos ngatërrohet me një aplikacion të qetë. Shkruani detajet e ndërfaqes dhe të pasqyrës në shënimet e kapjes sa kohë janë ende të freskëta.

Kufizoni kapjen me filtër dhe unazë

Një kapje pa kufij mbush diskun dhe mbledh më shumë nga sa kërkon pyetja. Vendosni burimin, destinacionin dhe protokollin e lejuar në filtër, pastaj kufizoni madhësinë e skedarit dhe numrin e skedarëve.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adresa dhe porta më sipër janë shembuj nga diapazoni i dokumentacionit, prandaj zëvendësojini me vlerat e miratuara dhe mbani dritaren mjaftueshëm të shkurtër që provat t'i mbijetojnë unazës. Gjatësia e pamjes pret ngarkesën duke mbajtur titujt, gjë që zakonisht mjafton për një pyetje lidhjeje dhe është shumë më e lehtë për t'u ruajtur. Lexoni rreshtin e hedhjes së bërthamës që tcpdump shtyp në dalje, sepse një numër i lartë hedhjesh do të thotë që kapja është e paplotë dhe jo e qetë. Ruani dritaren që ju nevojitet përpara se unaza ta mbishkruajë atë dhe shënoni vargun e filtrit pranë emrit të skedarit.

Lëvizni skedarin, jo të gjithë lidhjen

Merrni kapjen e përfunduar përmes kanalit të administrimit në vend që të transmetoni pasqyrën përmes WAN. Një transferim është më i lehtë për t'u autorizuar, regjistruar dhe fshirë sesa një eksport i vazhdueshëm.

scp [email protected]:/var/tmp/cap.pcap ./

Mbani skedarin të lexueshëm vetëm nga llogaria e operatorit dhe fshijeni nga sensori pasi kopja e analizës të verifikohet. Nëse eksporti i drejtpërdrejtë është vërtet kërkesa, dimensiononi së bashku inkapsulimin e pasqyrës dhe transportin, sepse kostot shtesë mund të tejkalojnë buxhetin e lidhjes. Regjistroni boshllëqet e dukshmërisë në çdo rast, sepse kapja është provë me një pikë vëzhgimi të njohur dhe jo një regjistrim i plotë i rrjetit.