దూర ప్యాకెట్ క్యాప్చర్: సెన్సర్ స్థలంలో, విశ్లేషకుడు దూరంగా

ప్యాకెట్ క్యాప్చర్ ప్యాకెట్లు ఇప్పటికే ప్రవహించే చోటికే చెందుతుంది, దూర విశ్లేషకుడు అక్కడ అరుదుగా కూర్చుంటాడు. పనిచేసే ఏర్పాటు గమనించిన విభాగంలో సెన్సర్ మరియు మొత్తం ప్రతిబింబిత లింక్ కాదు, నిర్వహణను, తిరిగి పొందడాన్ని మోసే VPN. ఆ విభజన విశ్లేషకుడి ల్యాప్‌టాప్‌ను క్యాప్చర్ మార్గం వెలుపల ఉంచుతుంది మరియు సున్నితమైన డేటాను అక్కడే ఉంచుతుంది. కింది దశలు ఇంటర్‌ఫేస్‌ను ఎంచుకుంటాయి, ఫైల్‌ను పరిమితం చేస్తాయి మరియు ప్రశ్నకు కావలసినది మాత్రమే కదిలిస్తాయి.

దూర ల్యాప్‌టాప్ ట్యాప్ కాదు

VPN ద్వారా నెట్‌వర్క్‌లో చేరడం మీ యంత్రానికి సెన్సర్ వరకు మార్గం ఇస్తుంది, ఇతర హోస్ట్‌ల మధ్య ట్రాఫిక్ చూసే సామర్థ్యం కాదు. మీ ల్యాప్‌టాప్‌పై తీసుకున్న క్యాప్చర్ మీ ల్యాప్‌టాప్ ఇంటర్‌ఫేస్‌కు చేర్చిన ప్యాకెట్లను మాత్రమే చూస్తుంది. స్విచ్ చేసిన లింక్‌ను గమనించాలంటే నెట్‌వర్క్ యజమాని స్థలంలోని సెన్సర్‌కు అందించే అద్దం లేదా ట్యాప్ ఇవ్వాలి. అప్పుడు కూడా అద్దానికి పరిమితులుంటాయి, ఎందుకంటే అధిక భారం ఉన్న గమ్యాలు ఫ్రేమ్‌లను వదిలేస్తాయి, గేట్‌వే అదే VLAN లోపల ఉండే ట్రాఫిక్‌ను ఎప్పుడూ చూడదు.

ఎన్‌క్రిప్ట్ చేసిన ప్రవాహం సెన్సర్ వద్ద కూడా ఎన్‌క్రిప్ట్‌గానే ఉంటుంది, ఎందుకంటే TLS భారం చివరలకు చెందుతుంది. క్యాప్చర్ హెడర్లు, సమయం మరియు పరిమాణాన్ని ఇస్తుంది, సాదా పాఠ్యాన్ని కాదు.

ప్రవాహాన్ని చూడగల ఇంటర్‌ఫేస్‌ను ఎంచుకోండి

ఏదైనా ఫిల్టర్ చేసే ముందు ఇంటర్‌ఫేస్‌లను జాబితా చేసి, మీరు అడిగిన మార్గాన్ని ఏది మోస్తుందో నిర్ధారించండి. భౌతిక పోర్ట్, బాండ్ మరియు వంతెన మధ్య ఊహించడం ఖాళీ ఫైల్ సేకరించే సాధారణ మార్గం.

ip -br link
dumpcap -D

ఇంటర్‌ఫేస్ పేరును మార్పు రికార్డులోని పరిశీలన బిందువుకు సరిపోల్చండి, మరో హోస్ట్ నుండి గుర్తున్న పేరుకు కాదు. సేవ స్పష్టంగా బిజీగా ఉన్నప్పుడు ప్యాకెట్ లెక్కింపు సున్నాలో ఉంటే, సెన్సర్ తప్పు విభాగంలో ఉంది లేదా అద్దం మరో దిశకు సెట్ చేయబడింది. మొదట తెలిసిన మార్పిడితో మార్గాన్ని నిరూపించండి, విరిగిన అద్దాన్ని నిశ్శబ్ద అనువర్తనంగా పొరపాటు పడకుండా. ఇంటర్‌ఫేస్ మరియు అద్దం వివరాలను ఇంకా తాజాగా ఉన్నప్పుడే క్యాప్చర్ నోట్స్‌లో రాయండి.

ఫిల్టర్ మరియు వలయంతో క్యాప్చర్‌ను పరిమితం చేయండి

పరిమితి లేని క్యాప్చర్ డిస్క్‌ను నింపుతుంది మరియు ప్రశ్నకు అవసరమైన దానికంటే ఎక్కువ సేకరిస్తుంది. అనుమతించిన మూలం, గమ్యం మరియు ప్రోటోకాల్‌ను ఫిల్టర్‌లో పెట్టి, తర్వాత ఫైల్ పరిమాణం మరియు ఫైళ్ల సంఖ్యను పరిమితం చేయండి.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

పైన ఉన్న చిరునామా మరియు పోర్ట్ డాక్యుమెంటేషన్ పరిధి ఉదాహరణలు, కాబట్టి ఆమోదించిన విలువలను పెట్టి, సాక్ష్యాలు వలయం దాటి నిలిచేలా విండోను తగినంత చిన్నగా ఉంచండి. స్నాప్‌షాట్ పొడవు హెడర్లను ఉంచి భారాన్ని కత్తిరిస్తుంది, ఇది సాధారణంగా కనెక్టివిటీ ప్రశ్నకు సరిపోతుంది మరియు నిల్వ చేయడం చాలా సులభం. tcpdump నిష్క్రమించేటప్పుడు ముద్రించే కర్నెల్ డ్రాప్ లైన్ చదవండి, ఎందుకంటే ఎక్కువ డ్రాప్ అంటే క్యాప్చర్ నిశ్శబ్దం కాదు, అసంపూర్ణం. వలయం దానిపై రాసే ముందు అవసరమైన విండోను సంరక్షించి, ఫైల్ పేరు పక్కన ఫిల్టర్ స్ట్రింగ్‌ను నమోదు చేయండి.

మొత్తం లింక్ కాదు, ఫైల్‌ను కదిలించండి

WAN పైన అద్దాన్ని స్ట్రీమ్ చేయడం బదులు నిర్వహణ ఛానెల్ ద్వారా పూర్తయిన క్యాప్చర్‌ను తీసుకురండి. ఒక బదిలీ నిరంతర ఎగుమతి కంటే అధికారం ఇవ్వడం, లాగ్ చేయడం, తొలగించడం సులభం.

scp [email protected]:/var/tmp/cap.pcap ./

ఫైల్‌ను ఆపరేటర్ ఖాతాకు మాత్రమే చదవగలిగేలా ఉంచి, విశ్లేషణ ప్రతి ధృవీకరించిన తర్వాత సెన్సర్ నుండి తొలగించండి. ప్రత్యక్ష ఎగుమతి నిజంగా అవసరమైతే, అద్దం ఎన్‌క్యాప్సులేషన్ మరియు రవాణాను కలిసి కొలవండి, ఎందుకంటే అదనపు భారం లింక్ బడ్జెట్‌ను మించవచ్చు. ఏ సందర్భంలోనైనా దృశ్యమానత లోపాలను నమోదు చేయండి, ఎందుకంటే క్యాప్చర్ తెలిసిన పరిశీలన బిందువుతో కూడిన సాక్ష్యం, నెట్‌వర్క్ పూర్తి రికార్డు కాదు.