Uzaktan paket yakalama: sensör yerinde kalsın, analist uzakta

Paket yakalama, paketlerin zaten aktığı yere aittir ve uzaktaki analist orada nadiren oturur. İşleyen düzen, gözlenen segmentte bir sensör ve tüm yansıtılmış bağlantı değil, yönetim ile alımı taşıyan bir VPN'dir. Bu ayrım, analistin dizüstü bilgisayarını yakalama yolunun dışında tutar ve hassas veriyi sahada bırakır. Aşağıdaki adımlar arayüzü seçer, dosyayı sınırlar ve yalnızca sorunun ihtiyaç duyduğunu taşır.

Uzaktaki dizüstü bir tap değildir

Ağa VPN üzerinden katılmak, makinenize sensöre giden bir yol verir, diğer ana bilgisayarlar arasındaki trafiği görme yeteneği değil. Dizüstü bilgisayarınızda alınan yakalama yalnızca dizüstü bilgisayarınızın arayüzüne teslim edilen paketleri görür. Anahtarlamalı bir bağlantıyı izlemek, ağ sahibinin sahada bir sensörü besleyen bir ayna veya tap sağlamasını gerektirir. O zaman bile aynanın sınırları vardır, çünkü aşırı yüklenmiş hedefler çerçeveleri düşürür ve bir ağ geçidi aynı VLAN içinde kalan trafiği asla görmez.

Şifrelenmiş bir akış sensörde de şifreli kalır, çünkü TLS yükü uç noktalara aittir. Yakalama başlıklar, zamanlama ve hacim verir, düz metin değil.

Akışı görebilen arayüzü seçin

Herhangi bir şeyi filtrelemeden önce arayüzleri listeleyin ve size sorulan yolu hangisinin taşıdığını doğrulayın. Fiziksel bağlantı noktası, birleştirme ve köprü arasında tahmin etmek, boş bir dosya toplamanın yaygın bir yoludur.

ip -br link
dumpcap -D

Arayüz adını değişiklik kaydındaki gözlem noktasıyla eşleştirin, başka bir ana bilgisayardan hatırladığınız adla değil. Hizmet görünür biçimde meşgulken paket sayısı sıfırda kalıyorsa sensör yanlış segmenttedir veya ayna diğer yön için yapılandırılmıştır. Yolu önce bilinen bir alışverişle kanıtlayın, böylece bozuk bir ayna sessiz bir uygulamayla karıştırılmasın. Arayüz ve ayna ayrıntılarını henüz tazeyken yakalama notlarına yazın.

Yakalamayı filtre ve halka ile sınırlayın

Sınırsız bir yakalama diski doldurur ve sorunun gerektirdiğinden fazlasını toplar. İzin verilen kaynağı, hedefi ve protokolü filtreye koyun, ardından dosya boyutunu ve dosya sayısını sınırlayın.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Yukarıdaki adres ve bağlantı noktası belge aralığından örneklerdir, bu nedenle onaylanmış değerlerle değiştirin ve pencereyi kanıtlar halkadan sağ çıkacak kadar kısa tutun. Anlık görüntü uzunluğu başlıkları koruyarak yükü keser; bu genellikle bağlantı sorusu için yeterlidir ve saklanması çok daha kolaydır. tcpdump'ın çıkarken yazdırdığı çekirdek düşürme satırını okuyun, çünkü yüksek düşürme sayısı yakalamanın sessiz değil eksik olduğu anlamına gelir. İhtiyacınız olan pencereyi halka onu üzerine yazmadan önce koruyun ve filtre dizesini dosya adının yanına kaydedin.

Tüm bağlantıyı değil, dosyayı taşıyın

Tamamlanan yakalamayı aynayı WAN üzerinden akıtmak yerine yönetim kanalından alın. Tek bir aktarım, sürekli bir dışa aktarmadan daha kolay yetkilendirilir, kaydedilir ve silinir.

scp [email protected]:/var/tmp/cap.pcap ./

Dosyayı yalnızca operatör hesabının okuyabileceği biçimde tutun ve analiz kopyası doğrulandığında sensörden silin. Canlı dışa aktarma gerçekten gereklilikse, ayna kapsüllemesini ve taşımayı birlikte boyutlandırın, çünkü ek yük bağlantı bütçesini aşabilir. Görünürlük boşluklarını her durumda kaydedin, çünkü yakalama bilinen bir gözlem noktası olan kanıttır, ağın eksiksiz kaydı değildir.