การดักจับแพ็กเก็ตจากระยะไกล: เซ็นเซอร์อยู่ที่เดิม นักวิเคราะห์อยู่ห่างไกล

การดักจับแพ็กเก็ตเป็นเรื่องของที่ที่แพ็กเก็ตไหลอยู่แล้ว และนักวิเคราะห์ระยะไกลแทบไม่เคยนั่งอยู่ที่นั่น การจัดวางที่ทำได้จริงคือเซ็นเซอร์บนเซกเมนต์ที่เฝ้าดู บวกกับ VPN ที่รับส่งงานดูแลจัดการและการดึงข้อมูล ไม่ใช่ทั้งลิงก์ที่มิเรอร์ไว้ การแยกเช่นนี้ทำให้แล็ปท็อปของนักวิเคราะห์อยู่นอกเส้นทางการดักจับ และเก็บเพย์โหลดที่อ่อนไหวไว้ในที่ตั้ง ขั้นตอนด้านล่างเลือกอินเทอร์เฟซ จำกัดไฟล์ และย้ายเฉพาะสิ่งที่คำถามต้องการ

แล็ปท็อปจากระยะไกลไม่ใช่จุดดักจับ

การเข้าร่วมเครือข่ายผ่าน VPN ให้เครื่องของคุณมีเส้นทางไปยังเซ็นเซอร์ ไม่ใช่ความสามารถในการมองเห็นทราฟฟิกระหว่างโฮสต์อื่น การดักจับที่ทำบนแล็ปท็อปของคุณเห็นเฉพาะแพ็กเก็ตที่ถูกส่งไปยังอินเทอร์เฟซของแล็ปท็อปนั้น การเฝ้าดูลิงก์ที่ผ่านสวิตช์ต้องให้เจ้าของเครือข่ายจัดหามิเรอร์หรือแทปที่ป้อนเซ็นเซอร์ในที่ตั้ง ถึงอย่างนั้นมิเรอร์ก็มีขีดจำกัด เพราะปลายทางที่รับมากเกินไปจะทิ้งเฟรม และเกตเวย์ไม่เคยเห็นทราฟฟิกที่อยู่ภายใน VLAN เดียวกัน

โฟลว์ที่เข้ารหัสก็ยังเข้ารหัสอยู่ที่เซ็นเซอร์ เพราะเพย์โหลด TLS เป็นของปลายทางทั้งสอง การดักจับให้ส่วนหัว เวลา และปริมาณ ไม่ใช่ข้อความธรรมดา

เลือกอินเทอร์เฟซที่มองเห็นโฟลว์ได้

ก่อนจะกรองอะไร ให้ไล่รายการอินเทอร์เฟซและยืนยันว่าตัวใดรับเส้นทางที่ถูกถาม การเดาระหว่างพอร์ตจริง บอนด์ และบริดจ์เป็นวิธีทั่วไปที่จะได้ไฟล์ว่างเปล่า

ip -br link
dumpcap -D

จับคู่ชื่ออินเทอร์เฟซกับจุดสังเกตในบันทึกการเปลี่ยนแปลง ไม่ใช่ชื่อที่จำได้จากโฮสต์อื่น หากจำนวนแพ็กเก็ตยังเป็นศูนย์ในขณะที่บริการดูยุ่งชัดเจน แสดงว่าเซ็นเซอร์อยู่ผิดเซกเมนต์หรือมิเรอร์ถูกตั้งค่าสำหรับทิศทางตรงข้าม พิสูจน์เส้นทางด้วยการแลกเปลี่ยนที่รู้จักก่อน เพื่อไม่ให้มิเรอร์ที่เสียถูกเข้าใจผิดว่าแอปพลิเคชันเงียบ เขียนรายละเอียดอินเทอร์เฟซและมิเรอร์ลงในบันทึกการดักจับขณะยังสดใหม่

จำกัดการดักจับด้วยฟิลเตอร์และริง

การดักจับที่ไม่จำกัดจะเต็มดิสก์และเก็บมากกว่าที่คำถามต้องการ ใส่แหล่งต้นทาง ปลายทาง และโปรโตคอลที่อนุญาตลงในฟิลเตอร์ แล้วจำกัดขนาดไฟล์และจำนวนไฟล์

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

ที่อยู่และพอร์ตข้างต้นเป็นตัวอย่างจากช่วงเอกสาร จึงควรแทนที่ด้วยค่าที่อนุมัติแล้วและทำให้หน้าต่างสั้นพอที่หลักฐานจะรอดพ้นริงไปได้ ความยาวสแนปช็อตตัดเพย์โหลดแต่เก็บส่วนหัวไว้ ซึ่งมักเพียงพอต่อคำถามเรื่องการเชื่อมต่อและเก็บได้ง่ายกว่ามาก อ่านบรรทัดดรอปของเคอร์เนลที่ tcpdump พิมพ์ตอนออก เพราะจำนวนดรอปสูงหมายความว่าการดักจับไม่สมบูรณ์ ไม่ใช่เงียบ เก็บหน้าต่างที่ต้องการไว้ก่อนที่ริงจะเขียนทับ และบันทึกสตริงฟิลเตอร์ไว้ข้างชื่อไฟล์

ย้ายไฟล์ ไม่ใช่ทั้งลิงก์

ดึงการดักจับที่เสร็จแล้วผ่านช่องทางบริหารจัดการ แทนการสตรีมมิเรอร์ข้าม WAN การถ่ายโอนครั้งเดียวง่ายต่อการอนุญาต บันทึก และลบมากกว่าการส่งออกต่อเนื่อง

scp [email protected]:/var/tmp/cap.pcap ./

ให้ไฟล์อ่านได้เฉพาะบัญชีผู้ปฏิบัติงาน และลบออกจากเซ็นเซอร์เมื่อตรวจสอบสำเนาสำหรับวิเคราะห์แล้ว หากการส่งออกแบบสดเป็นข้อกำหนดจริง ต้องประมาณการห่อหุ้มมิเรอร์และการขนส่งไปด้วยกัน เพราะภาระเพิ่มเติมอาจเกินงบของลิงก์ ไม่ว่าจะทางใดให้บันทึกช่องว่างของการมองเห็นไว้ เพราะการดักจับเป็นหลักฐานที่มีจุดสังเกตที่รู้ ไม่ใช่บันทึกที่สมบูรณ์ของเครือข่าย