Bắt gói từ xa: cảm biến ở tại chỗ, chuyên viên phân tích ở xa

Việc bắt gói thuộc về nơi các gói đã chảy, và chuyên viên phân tích từ xa hiếm khi ngồi đó. Cách bố trí khả thi là một cảm biến trên phân đoạn được quan sát cùng một VPN chỉ mang quản trị và truy xuất, không phải toàn bộ liên kết được nhân bản. Sự tách biệt đó giữ máy tính xách tay của chuyên viên ngoài đường bắt gói và giữ dữ liệu nhạy cảm tại chỗ. Các bước dưới đây chọn giao diện, giới hạn tệp và chỉ chuyển những gì câu hỏi cần.

Máy tính xách tay từ xa không phải là điểm bắt

Tham gia mạng qua VPN cho máy của bạn một tuyến đến cảm biến, không phải khả năng nhìn thấy lưu lượng giữa các máy chủ khác. Một lần bắt gói trên máy tính xách tay chỉ thấy các gói được giao đến giao diện của máy đó. Để quan sát một liên kết chuyển mạch, chủ mạng phải cung cấp một bản sao hoặc một điểm phân nhánh cấp dữ liệu cho cảm biến tại chỗ. Ngay cả khi đó bản sao vẫn có giới hạn, vì các đích quá tải làm rơi khung và một cổng mạng không bao giờ thấy lưu lượng ở lại trong cùng một VLAN.

Một luồng đã mã hóa cũng vẫn mã hóa tại cảm biến, vì phần tải TLS thuộc về các điểm cuối. Việc bắt gói cho ra phần đầu, thời điểm và khối lượng, không phải văn bản rõ.

Chọn giao diện có thể nhìn thấy luồng

Trước khi lọc bất cứ thứ gì, hãy liệt kê các giao diện và xác nhận giao diện nào mang tuyến mà bạn được hỏi. Đoán giữa cổng vật lý, một liên kết gộp và một cầu nối là cách phổ biến để thu được một tệp rỗng.

ip -br link
dumpcap -D

Khớp tên giao diện với điểm quan sát trong biên bản thay đổi, không phải với tên bạn nhớ từ máy chủ khác. Nếu số gói vẫn bằng không trong khi dịch vụ rõ ràng đang bận, cảm biến nằm trên phân đoạn sai hoặc bản sao được cấu hình cho hướng ngược lại. Trước tiên hãy chứng minh tuyến bằng một trao đổi đã biết, để một bản sao hỏng không bị nhầm với ứng dụng im lặng. Ghi chi tiết giao diện và bản sao vào ghi chú bắt gói khi chúng còn mới.

Giới hạn việc bắt gói bằng bộ lọc và vòng

Một lần bắt gói không giới hạn sẽ làm đầy đĩa và thu nhiều hơn câu hỏi yêu cầu. Đặt nguồn, đích và giao thức được phép vào bộ lọc, rồi giới hạn kích thước tệp và số lượng tệp.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Địa chỉ và cổng ở trên là ví dụ từ dải tài liệu, nên hãy thay bằng các giá trị đã được phê duyệt và giữ cửa sổ đủ ngắn để bằng chứng sống qua vòng. Độ dài ảnh chụp cắt phần tải trong khi giữ phần đầu, thường đủ cho một câu hỏi về kết nối và dễ lưu hơn nhiều. Đọc dòng bỏ gói của nhân mà tcpdump in khi thoát, vì số lần bỏ cao nghĩa là lần bắt gói chưa đầy đủ chứ không phải yên tĩnh. Giữ lại cửa sổ bạn cần trước khi vòng ghi đè lên nó, và ghi chuỗi bộ lọc bên cạnh tên tệp.

Chuyển tệp, không phải cả liên kết

Lấy bản bắt gói đã hoàn tất qua kênh quản trị thay vì truyền bản sao qua WAN. Một lần truyền dễ cấp quyền, ghi nhật ký và xóa hơn một lần xuất liên tục.

scp [email protected]:/var/tmp/cap.pcap ./

Chỉ để tài khoản vận hành đọc được tệp, và xóa nó khỏi cảm biến sau khi bản sao phân tích được kiểm chứng. Nếu xuất trực tiếp thực sự là yêu cầu, hãy tính đóng gói bản sao và vận chuyển cùng nhau, vì chi phí phụ có thể vượt ngân sách liên kết. Dù thế nào cũng ghi lại các khoảng trống về khả năng quan sát, vì bắt gói là bằng chứng với một điểm quan sát đã biết chứ không phải bản ghi đầy đủ của mạng.