Εργαλεία ασφαλείας ανοιχτού κώδικα
Wireshark: Ανάγνωση πακέτων σαν επαγγελματίας
Το Wireshark παίρνει ένα αρχείο καταγραφής και κάνει το δίκτυο ευανάγνωστο: κάθε πρωτόκολλο που αποκόπτεται, κάθε ροή που μπορεί να ακολουθηθεί, κάθε φίλτρο μια ερώτηση που μπορείτε να κάνετε σε εκατομμύρια πακέτα. Στις δεσμεύσεις, είναι η πλευρά ανάλυσης της εργασίας πακέτων — καταγράψτε με το tcpdump στον διακομιστή και, στη συνέχεια, ανοίξτε το αρχείο στο Wireshark όπου το GUI κάνει την πραγματική ανάγνωση. Η ικανότητα δεν κάνει κλικ. Γνωρίζει ποια ερώτηση να κάνει στη συνέχεια, από την ανακατασκευή ροής έως την αποκρυπτογράφηση TLS όταν οι κανόνες εμπλοκής επιτρέπουν την εξαγωγή μυστικών.
Βασικά σημεία
- Μάθετε και τις δύο γλώσσες φιλτραρίσματος και κρατήστε τις ευθείες: τα φίλτρα λήψης είναι BPF (κεντρικός υπολογιστής 10.0.0.5 και θύρα 443), τα φίλτρα εμφάνισης εκτελούνται μετά τη λήψη (http.request.method == 'POST').
- Το Follow Stream (κάντε δεξί κλικ σε οποιοδήποτε πακέτο TCP) είναι το εργαλείο εργασίας: μετατρέπει χίλια πακέτα στη μία συνομιλία που είχε σημασία.
- Πρώτα τα στατιστικά, μετά τα πακέτα: Η Ιεραρχία Πρωτοκόλλου και οι Συνομιλίες σας λένε αμέσως τι περιέχει στην πραγματικότητα η καταγραφή.
- Οι Πληροφορίες ειδικών είναι η λωρίδα διαλογής — αναμεταδόσεις, κακώς μορφοποιημένα πλαίσια και ύποπτα σφάλματα επιφάνειας σημαιών, μια ανάγνωση του εγχειριδίου θα χρειαζόταν μια ώρα για να βρει.
- Αποκρυπτογραφήστε το TLS με τον νόμιμο τρόπο: όταν μια δέσμευση το εξουσιοδοτεί, φορτώστε αρχεία καταγραφής κλειδιών TLS ή εξαγόμενα μυστικά και η χειραψία παύει να είναι ένας τοίχος κρυπτογραφημένου κειμένου.
- Να μην γίνεται λήψη σε διακομιστή παραγωγής με Wireshark: λήψη εκεί με tcpdump -w, ανάλυση εκτός σύνδεσης. το GUI και μια στοίβα ανατομής που απαιτεί μνήμη δεν ανήκουν σε έναν κεντρικό υπολογιστή επιχείρησης.
- Ονομάστε τις καταγραφές ανά φάση (nmap-recon.pcapng, auth-test.pcapng) και κατακερματίστε τις. ένα εύρημα αναφοράς που δεν μπορεί να παραπέμπει στο ακατέργαστο αρχείο του είναι φήμη.
- Η ακατάλληλη λειτουργία σημαίνει ανάγνωση επισκεψιμότητας που δεν είναι δική σας: σε κοινόχρηστα δίκτυα και Wi-Fi, η καταγραφή δεδομένων άλλων ατόμων χωρίς εξουσιοδότηση είναι γραμμή απορρήτου και νόμιμη, όχι εθιμοτυπία.
Σημείωση από το πεδίο
Το Follow Stream αποθήκευσε μια τετράωρη συνάντηση με το δάχτυλο, δείχνοντας ότι το 'πρόβλημα εφαρμογής' ήταν ένας βρόχος ανακατεύθυνσης HTTP. Ανοίγω το Statistics πρώτα τώρα χωρίς αντανακλαστικό — η απάντηση βρισκόταν στην Ιεραρχία Πρωτοκόλλου όλη την ώρα.
Συχνές ερωτήσεις
Wireshark ή tcpdump — ποια πραγματικά χρησιμοποιείτε;
Και τα δύο, χωρισμένα κατά τοποθεσία: το tcpdump καταγράφει στον διακομιστή επειδή είναι ήδη εκεί και δεν κοστίζει τίποτα, αναλύει το Wireshark στο σταθμό εργασίας όπου οι ανατομείς κερδίζουν τη φύλαξή τους.
Μπορεί να διαβάσει κρυπτογραφημένη κίνηση;
Μόνο με κλειδιά από κάπου νόμιμες: καταγραφή κλειδιών TLS από ένα διαμορφωμένο τελικό σημείο ή μυστικά που εξάγονται βάσει κανόνων αφοσίωσης. χωρίς κλειδιά εμφανίζει σουίτες κρυπτογράφησης και μεγέθη, όχι περιεχόμενα.
Είναι δύσκολη η σύνταξη του φίλτρου οθόνης;
Έχει μια καμπύλη εκμάθησης, αλλά είναι μια γλώσσα ερωτήματος που αξίζει να μάθετε. μια εβδομάδα εγγραφής φίλτρων έναντι εργαστηριακών συλλήψεων καθιστά αυτόματο το μεγαλύτερο μέρος του καθημερινού φιλτραρίσματος.
Ποιο είναι το πρώτο φίλτρο που μαθαίνουν οι περισσότεροι επαγγελματίες;
Όχι ένα φίλτρο αλλά μια συνήθεια: φιλτράρετε στον κεντρικό υπολογιστή και το πρωτόκολλο που σας ενδιαφέρει και, στη συνέχεια, ακολουθήστε τη ροή, επειδή η απάντηση συνήθως μένει σε μια συνομιλία.
Πώς βοηθάει η Kinetikatech στα εργαλεία ασφαλείας ανοιχτού κώδικα
Το έχουμε αντιμετωπίσει εκατοντάδες φορές: Οι επαγγελματίες της εργαλειοθήκης δοκιμών παραμένουν πραγματικά φορτωμένοι: σαρωτές, sniffers, crackers και web proxies εξήγησαν τον τρόπο με τον οποίο χρησιμοποιούνται σε πραγματικές δεσμεύσεις - εντολές, σημαίες, εξόδους και πού βρίσκεται το καθένα σε μια μεθοδολογία. Με τις υπηρεσίες Δοκιμές διείσδυσης and Ασφάλεια διακομιστών Linux παίρνετε όλο τον κύκλο: αξιολογούμε, εφαρμόζουμε, παρακολουθούμε όλο το 24ωρο και παραλαμβάνουμε μέσα σε 30 λεπτά όταν έχει σημασία.