Удаљено снимање пакета: сензор локално, аналитичар на даљину

Снимање пакета припада тамо где пакети већ теку, а удаљени аналитичар ретко седи тамо. Изводљив распоред је сензор на посматраном сегменту плус VPN који носи администрацију и преузимање, а не целу огледалну везу. Та подела држи преносни рачунар аналитичара изван путање снимања и чува осетљиве податке на месту. Кораци испод бирају интерфејс, ограничавају датотеку и премештају само оно што питању треба.

Удаљени преносни рачунар није тачка снимања

Придруживање мрежи преко VPN-а даје вашем рачунару руту до сензора, а не видљивост у саобраћај између других хостова. Снимање узето на вашем преносном рачунару види само пакете достављене интерфејсу рачунара. Посматрање комутиране везе захтева да власник мреже обезбеди огледало или тачку снимања која храни сензор на месту. Чак и тада огледало има границе, јер преоптерећена одредишта одбацују оквире, а пролаз никада не види саобраћај који остаје унутар истог VLAN-а.

Шифровани ток остаје шифрован и на сензору, јер TLS терет припада крајњим тачкама. Снимање даје заглавља, време и обим, а не чисти текст.

Изаберите интерфејс који види ток

Пре него што било шта филтрирате, излистајте интерфејсе и потврдите који носи путању о којој сте питани. Нагађање између физичког порта, споја и моста чест је начин да прикупите празну датотеку.

ip -br link
dumpcap -D

Ускладите назив интерфејса са тачком посматрања у запису промена, а не са називом ког се сећате са другог хоста. Ако број пакета остане нула док је услуга видљиво заузета, сензор стоји на погрешном сегменту или је огледало конфигурисано за други смер. Прво докажите путању познатом разменом, да се покварено огледало не замени тихом апликацијом. Запишите појединости интерфејса и огледала у белешке снимања док су још свеже.

Ограничите снимање филтером и кругом

Снимање без граница пуни диск и скупља више него што питање захтева. Ставите дозвољени извор, одредиште и протокол у филтер, затим ограничите величину датотеке и број датотека.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Адреса и порт изнад су примери из документационог опсега, зато их замените одобреним вредностима и држите прозор довољно кратким да докази преживе круг. Дужина снимка одсеца терет уз задржавање заглавља, што је обично довољно за питање о повезивости и много лакше за чување. Прочитајте линију одбацивања језгра коју tcpdump испише при излазу, јер висок број одбацивања значи да је снимање непотпуно, а не тихо. Сачувајте прозор који вам треба пре него што га круг препише и запишите низ филтера уз назив датотеке.

Преместите датотеку, не целу везу

Преузмите готово снимање преко канала за управљање уместо да струјите огледало преко WAN-а. Један пренос лакше је овластити, забележити и избрисати од трајног извоза.

scp [email protected]:/var/tmp/cap.pcap ./

Држите датотеку читљивом само за оператерски налог и избришите је са сензора након што се копија за анализу потврди. Ако је живи извоз заиста захтев, димензионишите инкапсулацију огледала и транспорт заједно, јер додатни терет може премашити буџет везе. Забележите празнине у видљивости у сваком случају, јер је снимање доказ са познатом тачком посматрања, а не потпун запис мреже.