Malayuang pagkuha ng packet: manatili ang sensor sa lugar, ang analista ay malayo

Ang pagkuha ng packet ay nabibilang kung saan dumadaloy na ang mga packet, at ang malayuang analista ay bihirang umupo doon. Ang praktikal na kaayusan ay isang sensor sa sinusubaybayang segment at isang VPN na nagdadala ng pangangasiwa at pagkuha, hindi ang buong sinasalamin na link. Ang paghahati na iyon ay naglalayo sa laptop ng analista mula sa landas ng pagkuha at nagpapanatili ng sensitibong payload sa lugar. Pinipili ng mga hakbang sa ibaba ang interface, nililimitahan ang file at inililipat lamang ang kailangan ng tanong.

Malayuang laptop ay hindi tap

Ang pagsali sa network sa pamamagitan ng VPN ay nagbibigay sa iyong makina ng ruta patungo sa sensor, hindi kakayahang makita ang trapiko sa pagitan ng ibang host. Ang pagkuha sa iyong laptop ay nakakakita lamang ng mga packet na inihatid sa interface ng iyong laptop. Ang pagmamasid sa isang switch na link ay nangangailangan na magbigay ang may-ari ng network ng salamin o tap na nagpapakain sa isang sensor sa lugar. Kahit gayon, may mga limitasyon ang salamin, dahil nagtatapon ng frame ang mga overloaded na destinasyon at hindi kailanman nakikita ng gateway ang trapikong nananatili sa loob ng parehong VLAN.

Ang naka-encrypt na daloy ay nananatiling naka-encrypt din sa sensor, dahil pag-aari ng mga endpoint ang TLS payload. Ang pagkuha ay nagbibigay ng header, oras at dami, hindi simpleng teksto.

Piliin ang interface na nakakakita ng daloy

Bago mag-filter ng anuman, ilista ang mga interface at tiyakin kung alin ang nagdadala ng landas na itinanong sa iyo. Ang paghula sa pagitan ng pisikal na port, bond at tulay ay karaniwang paraan ng pagkolekta ng walang laman na file.

ip -br link
dumpcap -D

Itugma ang pangalan ng interface sa observation point sa talaan ng pagbabago, hindi sa pangalang naaalala mo mula sa ibang host. Kung manatiling zero ang bilang ng packet habang abala ang serbisyo, ang sensor ay nasa maling segment o naka-configure ang salamin para sa kabilang direksyon. Patunayan muna ang landas sa kilalang palitan, upang ang sirang salamin ay hindi mapagkamalang tahimik na aplikasyon. Isulat ang detalye ng interface at salamin sa mga tala ng pagkuha habang sariwa pa.

Limitahan ang pagkuha gamit ang filter at singsing

Ang pagkuha na walang limitasyon ay pinupuno ang disk at kumukuha ng higit pa sa kailangan ng tanong. Ilagay ang pinapayagang pinagmulan, destinasyon at protocol sa filter, pagkatapos ay limitahan ang laki ng file at bilang ng file.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Ang address at port sa itaas ay mga halimbawa mula sa saklaw ng dokumentasyon, kaya palitan ng aprubadong halaga at panatilihing sapat na maikli ang window upang makaligtas ang ebidensya sa singsing. Pinuputol ng snapshot length ang payload habang pinapanatili ang header, na kadalasang sapat para sa tanong tungkol sa koneksyon at mas madaling itago. Basahin ang kernel drop line na ipinapakita ng tcpdump sa paglabas, dahil ang mataas na bilang ng drop ay nangangahulugang hindi kumpleto ang pagkuha at hindi tahimik. Itago ang window na kailangan mo bago ito isulat ng singsing, at itala ang filter string sa tabi ng pangalan ng file.

Ilipat ang file, hindi ang buong link

Kunin ang natapos na pagkuha sa channel ng pamamahala sa halip na i-stream ang salamin sa WAN. Ang isang paglilipat ay mas madaling pahintulutan, itala at burahin kaysa tuloy-tuloy na pag-export.

scp [email protected]:/var/tmp/cap.pcap ./

Panatilihing nababasa lamang ng operator account ang file, at burahin ito sa sensor kapag na-verify na ang kopya para sa pagsusuri. Kung ang live na pag-export ay tunay na kinakailangan, sukatin nang sabay ang encapsulation ng salamin at ang transportasyon, dahil maaaring lumampas ang overhead sa badyet ng link. Itala ang mga puwang sa visibility kahit ano pa man, dahil ang pagkuha ay ebidensyang may kilalang observation point at hindi kumpletong talaan ng network.