Εργαλεία ασφαλείας ανοιχτού κώδικα
tcpdump: Το εργαλείο πακέτων που δεν φεύγει ποτέ από τον διακομιστή
Το tcpdump είναι το ήμισυ της ανάλυσης δικτύου και ζει σε κάθε διακομιστή που αγγίζουμε. Όταν ένα περιστατικό ή μια εμπλοκή χρειάζεται στοιχεία και το κουτί βρίσκεται εκατοντάδες χιλιόμετρα μακριά, το tcpdump μέσω SSH γράφει το αρχείο που θα αναλύσει αργότερα το Wireshark. Είναι ελάχιστο, αξιόπιστο και ελαφρώς γελοίο με τον καλύτερο τρόπο: μια εφάπαξ εγκατάσταση, χωρίς GUI και φίλτρα BPF που μπορείτε να πληκτρολογήσετε από τη μνήμη μετά από δύο εβδομάδες.
Βασικά σημεία
- Το βασικό αντανακλαστικό: tcpdump -i any -n -w prove.pcap -c 100000 host 10.0.0.5 και θύρα 443 — διεπαφή, χωρίς ανάλυση ονόματος, εγγραφή στο αρχείο, περιορισμός του αριθμού, φιλτράρισμα σε ό,τι έχει σημασία.
- Το -n (να μην επιλύετε ποτέ ονόματα) είναι αδιαπραγμάτευτο στις δεσμεύσεις: οι αναζητήσεις DNS κατά τη διάρκεια μιας λήψης προσθέτουν θόρυβο και διαρρέουν την ίδια τη λήψη.
- Γρήγορη ανάγνωση κειμένου χρησιμοποιήστε -A ή -X για απόρριψη ωφέλιμου φορτίου, αλλά μόλις χρειαστείτε πραγματική ανάλυση, σταματήστε και μεταφέρετε ένα αρχείο -w στο Wireshark.
- Το BPF είναι η μυϊκή μνήμη: host, net, port, tcp ή udp και συνδυασμένα φίλτρα με και, ή, not; το μαθαίνεις μια φορά και το χρησιμοποιείς για τριάντα χρόνια.
- Ενδιάμεσες ρυθμίσεις κουδουνίσματος για μακροχρόνιες λήψεις: tcpdump -w capture -C 100 -W 20 περιστρέφει αρχεία 100 MB, ώστε ο δίσκος να μην γεμίζει όσο περιμένετε.
- Snaplen και πειθαρχία περιστροφής: -s0 για πλήρη πακέτα όταν έχει σημασία, τα μεγέθη περιστροφής ορίζονται πριν σας ζητήσει η υποδομή να καθαρίσετε έναν γεμάτο δίσκο.
- Οι εκφράσεις φιλτραρίσματος συνθέτουν: tcp[13] & 2 σημαίνουν σημαίες SYN και η ανάγνωση ενός φίλτρου σημαιών είναι η στιγμή που το tcpdump σταματά να είναι τρομακτικό.
- Το πλαίσιο εξουσιοδότησης παραμένει το ίδιο σε οποιοδήποτε πλαίσιο καταγράφετε: πρέπει να είναι το σύστημά σας ή στο υπογεγραμμένο πεδίο εφαρμογής και η καταγραφή περιλαμβάνει την επισκεψιμότητα άλλων χρηστών, επομένως αντιμετωπίζετε το αρχείο ως ευαίσθητα δεδομένα.
Σημείωση από το πεδίο
Η μεγαλύτερη διάρκεια λήψης μου ήταν ένας περιστρεφόμενος χορός 2 GB σε μια πύλη που δεν συμπεριφερόταν σωστά — και παρέμεινα ήρεμος μόνο επειδή το -C 100 -W 20 είχε ήδη ρυθμιστεί. Η αναζήτηση αποδεικτικών στοιχείων που πρέπει να ονομάσετε τον εαυτό σας ξεπερνά το να εξηγείτε έναν γεμάτο δίσκο κάθε μέρα.
Συχνές ερωτήσεις
Γιατί να μην εκτελέσετε απλώς το Wireshark στον διακομιστή;
Βάρος και κόστος: ένα GUI και οι ανατομείς του σε έναν κεντρικό υπολογιστή παραγωγής είναι απόβλητα και οι διακομιστές χωρίς κεφαλή δεν έχουν οθόνη. Το tcpdump είναι το ήμισυ της γραμμής εντολών της ίδιας εργασίας.
Αξίζει να μάθετε το BPF όταν υπάρχουν φίλτρα οθόνης;
Ναι, για λήψη: δεν μπορείτε να φιλτράρετε ό,τι δεν έχετε αποθηκεύσει και ένα σφιχτό BPF διατηρεί τα αρχεία καταγραφής μικρά και την ανάλυση γρήγορη.
Πόσο μεγάλες μπορούν να γίνουν οι λήψεις;
Απεριόριστα χωρίς φροντίδα — γι' αυτό υπάρχουν τα -C και -W, και τα πολυάσχολα δίκτυα γεμίζουν δίσκους πιο γρήγορα από οποιονδήποτε άλλο βιβλίο εκκαθάρισης.
Λειτουργεί το tcpdump στα Windows;
Όχι εγγενώς? η πλευρά των Windows είναι pktmon (σύγχρονη) ή windump builds (κληρονομιά) και ειλικρινά οι περισσότερες εργασίες πακέτων των Windows γίνονται απευθείας με το Wireshark.
Πώς βοηθάει η Kinetikatech στα εργαλεία ασφαλείας ανοιχτού κώδικα
Αυτό κάνουμε κάθε μέρα: Οι επαγγελματίες της εργαλειοθήκης δοκιμών παραμένουν πραγματικά φορτωμένοι: σαρωτές, sniffers, crackers και web proxies εξήγησαν τον τρόπο με τον οποίο χρησιμοποιούνται σε πραγματικές δεσμεύσεις - εντολές, σημαίες, εξόδους και πού βρίσκεται το καθένα σε μια μεθοδολογία. Η υπηρεσία μας Δοκιμές διείσδυσης and Ασφάλεια διακομιστών Linux καλύπτει το θέμα από την αρχή ως το τέλος: εκτίμηση, εφαρμογή, παρακολούθηση 24/7 και επείγουσα αντιμετώπιση μέσα σε 30 λεπτά.