Инструменти за сигурност с отворен код
tcpdump: Инструментът за пакети, който никога не напуска сървъра
tcpdump е половината за улавяне на мрежовия анализ и живее на всеки сървър, до който се докосваме. Когато инцидент или ангажимент се нуждае от доказателства и кутията е на стотици километри, tcpdump през SSH записва файла, който Wireshark ще анализира по-късно. Той е минимален, надежден и леко смешен по най-добрия начин: еднократна инсталация, без GUI и BPF филтри, които можете да въвеждате от паметта след две седмици.
Ключови точки
- Основният рефлекс: tcpdump -i произволен -n -w evidence.pcap -c 100000 хост 10.0.0.5 и порт 443 — интерфейс, без резолюция на имена, запис във файл, ограничаване на броя, филтриране до това, което има значение.
- -n (никога не разрешавайте имена) не подлежи на обсъждане при ангажименти: DNS търсенията по време на улавяне добавят шум и изтичат самото улавяне.
- Бързото четене на текст използва -A или -X за изхвърляне на полезен товар, но след като имате нужда от действителен анализ, спрете и занесете -w файл в Wireshark.
- BPF е мускулната памет: хост, мрежа, порт, tcp или udp и комбинирани филтри с и, или, не; научаваш го веднъж и го използваш тридесет години.
- Пръстенови буфери за дълги заснемания: tcpdump -w capture -C 100 -W 20 завърта 100 MB файлове, така че дискът да не се запълни, докато чакате.
- Snaplen и дисциплина на ротация: -s0 за пълни пакети, когато има значение, размери на ротация, зададени преди инфраструктурата да ви помоли да почистите запълнен диск.
- Изразите за филтриране съставят: tcp[13] & 2 означават SYN флагове, а четенето на филтър за флагове е моментът, в който tcpdump престава да бъде плашещ.
- Рамката за оторизация остава същата за всяка кутия, в която заснемате: тя трябва да е вашата система или в подписания обхват, а заснемането включва трафик на други потребители, така че третирайте файла като чувствителни данни.
Бележка от терен
Най-дългото ми заснемане беше въртящ се танц с 2 GB на неработещ шлюз — и останах спокоен само защото -C 100 -W 20 вече беше зададен. Търсенето на доказателства, които трябва да посочите, е по-добро от обяснението на пълен диск всеки ден.
Често задавани въпроси
Защо просто не стартирате Wireshark на сървъра?
Тегло и цена: GUI и неговите дисектори на производствен хост са отпадъци, а безглавите сървъри нямат дисплей; tcpdump е половината от командния ред на същото задание.
Струва ли си да се научи BPF, когато съществуват филтри за показване?
Да, за улавяне: не можете да филтрирате това, което не сте съхранили, а стегнатият BPF поддържа файловете за улавяне малки и анализът бърз.
Колко големи могат да станат уловените?
Неограничен без грижи — за това съществуват -C и -W, а натоварените мрежи запълват дисковете по-бързо, отколкото някой записва почистване.
tcpdump работи ли на Windows?
Не нативно; страната на Windows е pktmon (модерна) или windump компилации (наследена) и честно казано, повечето пакети в Windows се извършват директно с Wireshark.
Как Kinetikatech помага с инструменти за сигурност с отворен код
Не е нужно да ставате експерт по инструменти за сигурност с отворен код: Професионалистите от инструментариума за тестване всъщност поддържат заредени: скенери, снифери, кракери и уеб проксита обясниха начина, по който се използват при реални ангажименти – команди, флагове, изходи и къде седи всеки от тях в методологията. Точно затова съществува Тестове за проникване и Сигурност на Linux сървъра: въвеждане в експлоатация, укрепване, мониторинг и дежурен човек денонощно.