أدوات الأمان مفتوحة المصدر
tcpdump: أداة الحزم التي لا تترك الخادم أبدًا
tcpdump هو نصف الالتقاط من تحليل الشبكة، وهو موجود على كل خادم نلمسه. عندما يحتاج حادث أو اشتباك إلى دليل ويكون الصندوق على بعد مئات الكيلومترات، يقوم tcpdump عبر SSH بكتابة الملف الذي ستقوم Wireshark بتحليله لاحقًا. إنه بسيط وموثوق ومثير للسخرية بعض الشيء بأفضل طريقة: تثبيت لمرة واحدة، بدون واجهة المستخدم الرسومية ومرشحات BPF التي يمكنك كتابتها من الذاكرة بعد أسبوعين.
النقاط الرئيسية
- المنعكس الأساسي: tcpdump -i Any -n -w الأدلة.pcap -c 100000 host 10.0.0.5 والمنفذ 443 - الواجهة، بدون تحليل الاسم، الكتابة إلى الملف، تحديد الحد الأقصى للعدد، التصفية إلى ما يهم.
- -n (لا تحل الأسماء أبدًا) غير قابل للتفاوض بشأن المشاركات: عمليات بحث DNS أثناء الالتقاط تضيف ضوضاء وتسرب الالتقاط نفسه.
- تستخدم قراءة النص السريعة -A أو -X لتفريغ الحمولة، ولكن بمجرد أن تحتاج إلى تحليل فعلي، توقف وأخذ ملف -w إلى Wireshark.
- BPF هي ذاكرة العضلات: المضيف، والشبكة، والمنفذ، وtcp أو udp، والمرشحات المدمجة مع و، أو، لا؛ تتعلمه مرة واحدة وتستخدمه لمدة ثلاثين عامًا.
- المخازن المؤقتة الحلقية لعمليات الالتقاط الطويلة: يقوم tcpdump -w Capture -C 100 -W 20 بتدوير ملفات بحجم 100 ميجابايت بحيث لا يمتلئ القرص أثناء الانتظار.
- نظام Snaplen والتدوير: -s0 للحزم الكاملة عندما يكون الأمر مهمًا، يتم تعيين أحجام التدوير قبل أن تطلب منك البنية التحتية تنظيف قرص ممتلئ.
- تتكون تعبيرات التصفية من: tcp[13] & 2 تعني إشارات SYN، وقراءة مرشح العلامات هي اللحظة التي يتوقف فيها tcpdump عن كونه مخيفًا.
- يظل إطار التفويض كما هو في أي صندوق تلتقطه: يجب أن يكون نظامك أو في النطاق الموقع، ويتضمن الالتقاط حركة مرور المستخدمين الآخرين، لذا تعامل مع الملف كبيانات حساسة.
ملاحظة ميدانية
كانت أطول لقطاتي عبارة عن رقصة دوارة بحجم 2 جيجا بايت على بوابة تتصرف بشكل سيء - وبقيت هادئًا فقط لأن -C 100 -W 20 قد تم ضبطها بالفعل. البحث عن الأدلة يجب أن تسمي نفسك يدق ويشرح القرص المملوء في أي يوم.
أسئلة شائعة
لماذا لا تقوم فقط بتشغيل Wireshark على الخادم؟
الوزن والتكلفة: واجهة المستخدم الرسومية ومجزئاتها الموجودة على مضيف الإنتاج تعتبر هدرًا، ولا تحتوي الخوادم مقطوعة الرأس على شاشة عرض؛ tcpdump هو نصف سطر الأوامر لنفس الوظيفة.
هل يستحق BPF التعلم عند وجود مرشحات العرض؟
نعم، بالنسبة للالتقاط: لا يمكنك تصفية ما لم تقم بتخزينه، كما أن BPF المحكم يجعل ملفات الالتقاط صغيرة الحجم والتحليل سريعًا.
ما الحجم الذي يمكن أن تصل إليه اللقطات؟
غير محدود بدون رعاية - هذا هو السبب وراء وجود -C و -W، والشبكات المزدحمة تملأ الأقراص بشكل أسرع من أي شخص يقوم بالتنظيف.
هل يعمل برنامج tcpdump على نظام التشغيل Windows؟
ليس أصليًا؛ جانب Windows هو pktmon (حديث) أو تصميمات Windump (قديمة)، وبصراحة، فإن معظم حزم Windows تحدث مع Wireshark مباشرةً.
كيف تساعدك Kinetikatech في أدوات الأمان مفتوحة المصدر
باختصار: يستمر محترفو مجموعة أدوات الاختبار في التحميل: حيث أوضحت الماسحات الضوئية والمتشممون والمفرقعات ووكلاء الويب طريقة استخدامها في الارتباطات الحقيقية - الأوامر والأعلام والمخرجات ومكان كل منها في المنهجية. سلّمها إلى خدمة اختبارات الاختراق و أمن خوادم لينكس لدينا وهي مغطاة: تقييم سليم وتنفيذ نظيف ومراقبة على مدار الساعة.