دور سے پیکٹ کیپچر: سینسر مقامی رکھیں، تجزیہ کار دور

پیکٹ کیپچر وہیں کا ہے جہاں پیکٹ پہلے ہی بہہ رہے ہوتے ہیں، اور دور کا تجزیہ کار وہاں کم ہی بیٹھتا ہے۔ قابل عمل ترتیب یہ ہے کہ زیرِ مشاہدہ حصے پر ایک سینسر ہو اور ایک VPN جو انتظام اور حصول لے کر چلے، نہ کہ پورا عکس شدہ لنک۔ یہ تقسیم تجزیہ کار کے لیپ ٹاپ کو کیپچر کے راستے سے باہر رکھتی ہے اور حساس مواد موقع پر ہی رکھتی ہے۔ نیچے دیے گام انٹرفیس منتخب کرتے ہیں، فائل محدود کرتے ہیں اور صرف وہی منتقل کرتے ہیں جو سوال کو درکار ہے۔

دور کا لیپ ٹاپ ٹیپ نہیں ہے

VPN کے ذریعے نیٹ ورک میں شامل ہونا آپ کی مشین کو سینسر تک راستہ دیتا ہے، دوسرے ہوسٹس کے درمیان ٹریفک دیکھنے کی صلاحیت نہیں۔ آپ کے لیپ ٹاپ پر لی گئی کیپچر صرف وہی پیکٹ دیکھتی ہے جو آپ کے لیپ ٹاپ کے انٹرفیس کو پہنچائے جائیں۔ سوئچ شدہ لنک کا مشاہدہ کرنے کے لیے نیٹ ورک کے مالک کو ایسا آئینہ یا ٹیپ دینا ہوگا جو موقع پر سینسر کو خوراک دے۔ پھر بھی آئینے کی حدیں ہوتی ہیں، کیونکہ زیادہ بوجھ والے منازل فریم گر دیتے ہیں اور گیٹ وے اسی VLAN کے اندر رہنے والا ٹریفک کبھی نہیں دیکھتا۔

خفیہ کردہ بہاؤ سینسر پر بھی خفیہ رہتا ہے، کیونکہ TLS کا بوجھ سرے کے پاس ہوتا ہے۔ کیپچر ہیڈر، وقت اور حجم دیتی ہے، سادہ متن نہیں۔

وہ انٹرفیس منتخب کریں جو بہاؤ دیکھ سکے

کچھ بھی فلٹر کرنے سے پہلے انٹرفیس کی فہرست بنائیں اور تصدیق کریں کہ کون سا آپ سے پوچھا گیا راستہ لے کر چلتا ہے۔ طبعی پورٹ، بندھن اور پل کے درمیان اندازہ لگانا خالی فائل جمع کرنے کا عام طریقہ ہے۔

ip -br link
dumpcap -D

انٹرفیس کا نام تبدیلی کے ریکارڈ میں موجود مشاہدہ نقطے سے ملائیں، کسی دوسرے ہوسٹ سے یاد نام سے نہیں۔ اگر سروس واضح طور پر مصروف ہو اور پیکٹ کی گنتی صفر رہے، تو سینسر غلط حصے پر ہے یا آئینہ دوسری سمت کے لیے ترتیب دیا گیا ہے۔ پہلے کسی معلوم تبادلے سے راستہ ثابت کریں، تاکہ ٹوٹا آئینہ خاموش اطلاق سمجھا نہ جائے۔ انٹرفیس اور آئینے کی تفصیلات کیپچر کے نوٹ میں لکھیں جب وہ ابھی تازہ ہیں۔

فلٹر اور حلقے سے کیپچر محدود کریں

بلا حد کیپچر ڈسک بھر دیتی ہے اور سوال کی ضرورت سے زیادہ جمع کرتی ہے۔ اجازت شدہ ماخذ، منزل اور پروٹوکول فلٹر میں رکھیں، پھر فائل کا حجم اور فائلوں کی تعداد محدود کریں۔

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

اوپر دیا گیا پتہ اور پورٹ دستاویزات کی حد کی مثالیں ہیں، اس لیے منظوری شدہ اقدار رکھیں اور ونڈو اتنی مختصر رکھیں کہ شہادتیں حلقے سے گزر جائیں۔ سنیپ شاٹ کی لمبائی ہیڈر رکھتے ہوئے بوجھ کاٹ دیتی ہے، جو عام طور پر رابطے کے سوال کے لیے کافی ہوتی ہے اور محفوظ کرنا بہت آسان ہے۔ وہ کرنل ڈراپ لائن پڑھیں جو tcpdump باہر نکلتے وقت چھاپتا ہے، کیونکہ زیادہ ڈراپ کا مطلب ہے کہ کیپچر ادھوری ہے، خاموش نہیں۔ حلقے کے اوپر لکھنے سے پہلے مطلوبہ ونڈو محفوظ کریں اور فائل کے نام کے پاس فلٹر کی تار درج کریں۔

پورا لنک نہیں، فائل منتقل کریں

مکمل شدہ کیپچر انتظام کے چینل سے لائیں، آئینہ WAN پر بہانے کے بجائے۔ ایک منتقلی کو اجازت دینا، درج کرنا اور حذف کرنا مسلسل برآمد سے آسان ہے۔

scp [email protected]:/var/tmp/cap.pcap ./

فائل کو صرف آپریٹر اکاؤنٹ کے لیے پڑھنے کے قابل رکھیں، اور تجزیے کی نقل کی تصدیق کے بعد اسے سینسر سے حذف کر دیں۔ اگر براہ راست برآمد واقعی ضرورت ہو، تو آئینے کی encapsulation اور نقل و حمل اکٹھے ناپیں، کیونکہ اضافی بوجھ لنک بجٹ سے تجاوز کر سکتا ہے۔ کسی بھی صورت میں نظر آنے والے خلاء درج کریں، کیونکہ کیپچر معلوم مشاہدہ نقطے والی شہادت ہے، نیٹ ورک کا مکمل ریکارڈ نہیں۔