Masofadan paket tutish: sensor joyida qolsin, tahlilchi uzoqda

Paket tutish paketlar allaqachon oqib turgan joyga tegishli, masofadagi tahlilchi esa u yerda kamdan-kam o'tiradi. Ishlaydigan tuzilma — kuzatilayotgan segmentdagi sensor va butun ko'zgu ulanishni emas, boshqaruv hamda yig'ishni tashuvchi VPN. Bu ajratish tahlilchining noutbukini tutish yo'lidan tashqarida tutadi va nozik ma'lumotlarni joyida qoldiradi. Quyidagi qadamlar interfeysni tanlaydi, faylni cheklaydi va faqat savolga kerakli narsani ko'chiradi.

Masofadagi noutbuk tutish nuqtasi emas

Tarmoqqa VPN orqali ulanish mashinangizga sensorgacha yo'l beradi, boshqa xostlar orasidagi trafikni ko'rishni emas. Noutbukingizda olingan tutish faqat noutbukingiz interfeysiga yetkazilgan paketlarni ko'radi. Kommutatsiyalangan ulanishni kuzatish uchun tarmoq egasi joyidagi sensorni oziqlantiruvchi ko'zgu yoki tap taqdim etishi kerak. Shunda ham ko'zguning chegaralari bor, chunki ortiqcha yuklangan manzillar kadrlarni tashlab yuboradi va shlyuz hech qachon o'sha VLAN ichida qoladigan trafikni ko'rmaydi.

Shifrlangan oqim sensorda ham shifrlangan bo'lib qoladi, chunki TLS yuki oxirgi nuqtalarga tegishli. Tutish sarlavhalar, vaqt va hajmni beradi, ochiq matnni emas.

Oqimni ko'ra oladigan interfeysni tanlang

Biror narsani filtrlashdan oldin interfeyslarni sanab chiqing va so'ralgan yo'lni qaysi biri tashishini tasdiqlang. Jismoniy port, birlashma va ko'prik o'rtasida taxmin qilish bo'sh fayl yig'ishning odatiy usuli.

ip -br link
dumpcap -D

Interfeys nomini o'zgartirish yozuvidagi kuzatuv nuqtasiga moslang, boshqa xostdan eslab qolgan nomga emas. Xizmat ko'rinib turgan band bo'lganda paketlar soni nolda qolsa, sensor noto'g'ri segmentda turadi yoki ko'zgu qarama-qarshi yo'nalishga sozlangan. Avval tanish almashinuv bilan yo'lni isbotlang, buzilgan ko'zgu sokin ilova bilan adashtirilmasin. Interfeys va ko'zgu tafsilotlarini hali yangi bo'lganda tutish eslatmalariga yozing.

Tutishni filtr va halqa bilan cheklang

Cheklovsiz tutish diskni to'ldiradi va savol talab qilganidan ko'proq yig'adi. Ruxsat etilgan manba, manzil va protokolni filtrga qo'ying, so'ng fayl hajmi va fayllar sonini cheklang.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Yuqoridagi manzil va port hujjat diapazonidagi misollardir, shuning uchun tasdiqlangan qiymatlar bilan almashtiring va dalillar halqadan oshib o'tadigan darajada qisqa oyna tuting. Surat uzunligi sarlavhalarni saqlab yukni kesadi, bu odatda ulanish savoliga yetadi va saqlash ancha oson. tcpdump chiqishda chop etadigan yadro tashlash satrini o'qing, chunki tashlashlarning ko'pligi tutishning sokin emas, to'liq emasligini bildiradi. Halqa ustidan yozishdan oldin kerakli oynani saqlab qo'ying va filtr satrini fayl nomi yoniga yozing.

Butun ulanishni emas, faylni ko'chiring

Tayyor tutishni ko'zguni WAN orqali uzatish o'rniga boshqaruv kanali orqali oling. Bitta uzatishni ruxsatlash, qayd etish va o'chirish doimiy eksportdan osonroq.

scp [email protected]:/var/tmp/cap.pcap ./

Faylni faqat operator hisobi o'qiy oladigan qilib saqlang va tahlil nusxasi tekshirilgach uni sensordan o'chiring. Agar jonli eksport chindan ham talab bo'lsa, ko'zgu inkapsulyatsiyasi va transportni birga o'lchang, chunki qo'shimcha yuk ulanish byudjetidan oshishi mumkin. Ko'rinish bo'shliqlarini baribir yozib qo'ying, chunki tutish ma'lum kuzatuv nuqtasiga ega dalil, tarmoqning to'liq yozuvi emas.