Fjärrupptagning av paket: sensorn stannar lokalt, analytikern arbetar på distans

Paketupptagning hör hemma där paketen redan flödar, och den distansanslutna analytikern sitter sällan där. Den fungerande lösningen är en sensor på det observerade segmentet plus ett VPN som bär administration och hämtning, inte hela den speglade länken. Den uppdelningen håller analytikerns laptop utanför upptagningsvägen och håller känsliga nyttolaster på plats. Stegen nedan väljer gränssnittet, begränsar filen och flyttar bara det frågan behöver.

En distanslaptop är ingen tap

Att ansluta till nätet via VPN ger din maskin en väg till sensorn, inte insyn i trafik mellan andra värdar. En upptagning på din laptop ser bara paket som levereras till laptopens gränssnitt. Att observera en switchad länk kräver att nätägaren tillhandahåller en spegel eller en tapp som matar en sensor på plats. Även då har spegeln gränser, eftersom överbelastade destinationer släpper ramar och en gateway aldrig ser trafik som stannar inom samma VLAN.

En krypterad ström förblir också krypterad vid sensorn, eftersom TLS-nyttolasten tillhör ändpunkterna. Upptagningen ger rubriker, timing och volym, inte klartext.

Välj gränssnittet som kan se strömmen

Innan du filtrerar något, lista gränssnitten och bekräfta vilket som bär vägen du blev tillfrågad om. Att gissa mellan en fysisk port, en bond och en brygga är ett vanligt sätt att samla en tom fil.

ip -br link
dumpcap -D

Knyt gränssnittsnamnet till observationspunkten i ändringsloggen, inte till ett namn du minns från en annan värd. Om paketräknaren står kvar på noll medan tjänsten synbart är upptagen sitter sensorn på fel segment eller så är spegeln konfigurerad för den andra riktningen. Bevisa vägen först med ett känt utbyte, så att en trasig spegel inte förväxlas med en tyst applikation. Skriv gränssnitts- och spegeldetaljerna i upptagningsanteckningarna medan de ännu är färska.

Begränsa upptagningen med filter och ring

En upptagning utan gränser fyller disken och samlar mer än frågan kräver. Sätt den tillåtna källan, destinationen och protokollet i filtret och begränsa sedan filstorleken och antalet filer.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Adressen och porten ovan är exempel från dokumentationsintervallet, så byt ut dem mot de godkända värdena och håll fönstret kort nog att bevisen överlever ringen. Snapshotlängden klipper nyttolasten och behåller rubrikerna, vilket oftast räcker för en anslutningsfråga och är mycket lättare att lagra. Läs kärnans dropprad som tcpdump skriver ut vid avslut, eftersom ett högt droppantal betyder att upptagningen är ofullständig och inte tyst. Spara fönstret du behöver innan ringen skriver över det och anteckna filtersträngen bredvid filnamnet.

Flytta filen, inte hela länken

Hämta den färdiga upptagningen över administrationskanalen i stället för att strömma spegeln över WAN. En överföring är lättare att auktorisera, logga och radera än en kontinuerlig export.

scp [email protected]:/var/tmp/cap.pcap ./

Håll filen läsbar endast för operatörskontot och ta bort den från sensorn när analyskopian är verifierad. Om live-export verkligen är kravet, dimensionera spegelinkapslingen och transporten tillsammans, eftersom overhead kan överstiga länkbudgeten. Anteckna synlighetsluckorna oavsett, eftersom en upptagning är bevis med en känd observationspunkt och inte en fullständig registrering av nätet.