Віддалене перехоплення пакетів: датчик на місці, аналітик ззовні

Перехоплення пакетів належить туди, де пакети вже йдуть, а віддалений аналітик рідко сидить там. Робоча схема — датчик на спостережуваному сегменті плюс VPN, який несе адміністрування й вивантаження, а не всю дзеркальну ланку. Такий поділ тримає ноутбук аналітика поза шляхом перехоплення і залишає чутливі дані на місці. Кроки нижче вибирають інтерфейс, обмежують файл і переносять лише те, що потрібно питанню.

Віддалений ноутбук — не точка знімання

Підключення до мережі через VPN дає вашій машині маршрут до датчика, а не видимість трафіку між іншими хостами. Перехоплення, зняте на вашому ноутбуці, бачить лише пакети, доставлені на інтерфейс ноутбука. Для спостереження за комутованою ланкою власник мережі має надати дзеркало або точку знімання, що живить датчик на місці. Навіть тоді дзеркало має межі, бо перевантажені одержувачі відкидають кадри, а шлюз ніколи не бачить трафік, що залишається всередині того самого VLAN.

Зашифрований потік залишається зашифрованим і на датчику, оскільки корисне навантаження TLS належить кінцевим точкам. Перехоплення дає заголовки, час і обсяг, а не відкритий текст.

Виберіть інтерфейс, який бачить потік

Перш ніж щось фільтрувати, перелічіть інтерфейси й підтвердьте, який із них несе шлях, про який запитували. Вгадування між фізичним портом, об'єднанням і мостом — звичний спосіб зібрати порожній файл.

ip -br link
dumpcap -D

Зіставте назву інтерфейсу з точкою спостереження в записі змін, а не з назвою, яку пам'ятаєте з іншого хоста. Якщо лічильник пакетів залишається нульовим, поки сервіс явно зайнятий, датчик стоїть на неправильному сегменті або дзеркало налаштоване на зворотний напрямок. Спершу доведіть шлях відомим обміном, щоб зламане дзеркало не прийняли за тихий застосунок. Запишіть відомості про інтерфейс і дзеркало в нотатки перехоплення, поки вони ще свіжі.

Обмежте перехоплення фільтром і кільцем

Перехоплення без меж заповнює диск і збирає більше, ніж вимагає питання. Внесіть дозволені джерело, призначення й протокол у фільтр, потім обмежте розмір файлу й кількість файлів.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Адреса й порт вище — приклади з документаційного діапазону, тож підставте затверджені значення і тримайте вікно достатньо коротким, щоб докази пережили кільце. Довжина знімка обрізає корисне навантаження, зберігаючи заголовки, що зазвичай достатньо для питання про зв'язність і значно простіше зберігається. Прочитайте рядок скидання ядра, який tcpdump друкує при виході, бо високе число скидань означає, що перехоплення неповне, а не тихе. Збережіть потрібне вікно до того, як кільце його перезапише, і запишіть рядок фільтра поруч з іменем файлу.

Переносьте файл, а не всю ланку

Забирайте готове перехоплення каналом керування, а не транслюйте дзеркало через WAN. Одну передачу простіше авторизувати, зареєструвати й видалити, ніж безперервний експорт.

scp [email protected]:/var/tmp/cap.pcap ./

Тримайте файл доступним для читання лише обліковому запису оператора і видаліть його з датчика після перевірки копії для аналізу. Якщо живий експорт справді є вимогою, розрахуйте інкапсуляцію дзеркала й транспорт разом, бо накладні витрати можуть перевищити бюджет ланки. Фіксуйте прогалини видимості в будь-якому разі, адже перехоплення — це доказ з відомою точкою спостереження, а не повний запис мережі.