Open Source sikkerhedsværktøjer
Wireshark: Læser pakker som en professionel
Wireshark tager en optagelsesfil og gør netværket læseligt: hver protokol dissekeret, hver strøm kan følges, hvert filter et spørgsmål, du kan stille til millioner af pakker. På engagementer er det analysesiden af pakkearbejde - optag med tcpdump på serveren, åbn derefter filen i Wireshark, hvor GUI'en foretager selve læsningen. Færdigheden klikker ikke; det er at vide, hvilket spørgsmål der skal stilles næste gang, fra stream-rekonstruktion til TLS-dekryptering, når engagementsreglerne tillader udtrækning af hemmeligheder.
Vigtige pointer
- Lær begge filtersprog, og hold dem ved lige: Capture-filtre er BPF (vært 10.0.0.5 og port 443), displayfiltre kører efter capture (http.request.method == 'POST').
- Follow Stream (højreklik på en hvilken som helst TCP-pakke) er arbejdshesten: den forvandler tusind pakker til den ene samtale, der betød noget.
- Statistik først, pakker dernæst: Protokolhierarki og samtaler fortæller dig med det samme, hvad optagelsen faktisk indeholder.
- Ekspertinformation er triagebanen - genudsendelser, misformede rammer og mistænkelige flagoverfladefejl, som en manuel læsning ville tage en time at finde.
- Dekrypter TLS på den legitime måde: Når et engagement godkender det, indlæs TLS-nøglelogfiler eller udtrukne hemmeligheder, og håndtrykket holder op med at være en mur af chiffertekst.
- Optag ikke på en produktionsserver med Wireshark: optag der med tcpdump -w, analyser offline; GUI'en og en hukommelseshungrende dissektionsstak hører ikke hjemme på en virksomhedsvært.
- Navngiv optagelser pr. fase (nmap-recon.pcapng, auth-test.pcapng) og hash dem; en rapport, der ikke kan pege på dens rå fil, er et rygte.
- Promiskuøs tilstand betyder at læse trafik, der ikke er din: På delte netværk og Wi-Fi er indfangning af andres data uden tilladelse en privatlivs- og juridisk linje, ikke en etikette.
Note fra marken
Følg Stream gemte et fire-timers fingerpegende møde én gang ved at vise, at 'appproblemet' var en HTTP-omdirigeringsløkke. Jeg åbner Statistik først nu af refleks - svaret sad i protokolhierarki hele tiden.
Ofte stillede spørgsmål
Wireshark eller tcpdump - hvilken bruger du egentlig?
Begge dele, opdelt efter lokation: tcpdump fanger på serveren, fordi den allerede er der og koster ingenting, analyserer Wireshark på den arbejdsstation, hvor dissektorerne tjener deres behold.
Kan den læse krypteret trafik?
Kun med nøgler fra et legitimt sted: TLS-nøglelogfiler fra et konfigureret slutpunkt eller hemmeligheder udtrukket under engagementsregler; uden nøgler viser den krypteringssuiter og størrelser, ikke indhold.
Er syntaksen for displayfilteret svær?
Det har en indlæringskurve, men det er et forespørgselssprog, der er værd at lære; en uge med at skrive filtre mod lab-optagelser gør det meste af den daglige filtrering automatisk.
Hvad er det første filter, de fleste professionelle lærer?
Ikke ét filter, men en vane: Filtrer til den vært og protokol, du holder af, og følg derefter Stream, fordi svaret normalt lever i én samtale.
Sådan hjælper Kinetikatech med open source sikkerhedsværktøjer
Tilbuddet er enkelt: Testværktøjskassens fagfolk bliver faktisk ved med at være indlæst: scannere, sniffere, crackere og webproxyer forklarede, hvordan de bruges på rigtige engagementer - kommandoer, flag, output, og hvor hver enkelt sidder i en metodologi. Overlad det til vores Penetrationstests og Sikkerhed på Linux-servere, og du får fuld dækning: seriøs vurdering, ren implementering, overvågning hele døgnet.