Avoimen lähdekoodin suojaustyökalut
tcpdump: Pakettityökalu, joka ei koskaan poistu palvelimelta
tcpdump on verkkoanalyysin kaappauspuolet, ja se elää jokaisella koskettamamme palvelimella. Kun tapaus tai kihlaus tarvitsee todisteita ja laatikko on satojen kilometrien päässä, tcpdump over SSH kirjoittaa tiedoston, jonka Wireshark analysoi myöhemmin. Se on minimaalinen, luotettava ja hieman naurettava parhaalla tavalla: kerta-asennus, ei GUI:ta ja BPF-suodattimia, jotka voit kirjoittaa muistista kahden viikon kuluttua.
Keskeiset kohdat
- Ydinrefleksi: tcpdump -i any -n -w bizonyíték.pcap -c 100000 isäntä 10.0.0.5 ja portti 443 — liitäntä, ei nimenselvitystä, kirjoita tiedostoon, rajaa määrä, suodata, mikä on tärkeää.
- -n (älä koskaan ratkaise nimiä) ei ole neuvoteltavissa sitoumuksissa: DNS-haut sieppauksen aikana lisäävät kohinaa ja vuotavat itse sieppauksen.
- Pikatekstit käyttävät -A:ta tai -X:ää hyötykuorman kaatopaikoille, mutta kun tarvitset varsinaista analyysiä, lopeta ja vie -w-tiedosto Wiresharkiin.
- BPF on lihasmuisti: isäntä, verkko, portti, tcp tai udp ja yhdistetyt suodattimet, joissa on ja, tai ei; opit sen kerran ja käytät sitä kolmekymmentä vuotta.
- Soittopuskurit pitkiä sieppauksia varten: tcpdump -w capture -C 100 -W 20 kiertää 100 Mt tiedostoja, jotta levy ei täyty odottaessasi.
- Snaplen ja rotaatiokuri: -s0 täydellisille paketeille, kun sillä on merkitystä, kiertokoot asetettu ennen kuin infrastruktuuri pyytää sinua puhdistamaan täytetyn levyn.
- Suodatuslausekkeet muodostavat: tcp[13] & 2 tarkoittavat SYN-lippuja, ja lippusuodattimen lukeminen on hetki, jolloin tcpdump lakkaa olemasta pelottavaa.
- Valtuutuskehys pysyy samana kaikissa laatikoissa, joihin sieppaat: sen on oltava järjestelmässäsi tai allekirjoitetussa laajuudessa, ja sieppaus sisältää muiden käyttäjien liikenteen, joten käsittele tiedostoa arkaluontoisena datana.
Kenttämuistiinpano
Pisin kaappaukseni oli pyörivä 2 Gt:n tanssi huonosti toimivalla yhdyskäytävällä – ja pysyin rauhallisena vain, koska -C 100 -W 20 oli jo asetettu. Todisteiden etsiminen, joka sinun täytyy nimetä itsesi, päihittää täytön levyn selittämisen joka päivä.
Usein kysytyt kysymykset
Mikset vain aja Wiresharkia palvelimella?
Paino ja hinta: tuotantopalvelimen graafinen käyttöliittymä ja sen dissektorit ovat jätettä, eikä päättömissä palvelimissa ole näyttöä; tcpdump on komentorivin puolikas samasta työstä.
Kannattaako BPF oppia, kun näyttösuodattimet ovat olemassa?
Kyllä, sieppaamiseen: et voi suodattaa sitä, mitä et ole tallentanut, ja tiukka BPF pitää kaappaustiedostot pieninä ja analysointi nopeana.
Kuinka suuria kaappaukset voivat olla?
Rajoittamaton ilman huolellisuutta – sitä varten -C ja -W ovat olemassa, ja kiireiset verkot täyttävät levyt nopeammin kuin kukaan kirjaa siivousta.
Toimiiko tcpdump Windowsissa?
Ei alkuperäisesti; Windows-puoli on pktmon (moderni) tai windump builds (vanha), ja rehellisesti sanottuna suurin osa Windows-pakettityöstä tapahtuu suoraan Wiresharkin kanssa.
Näin Kinetikatech auttaa: avoimen lähdekoodin suojaustyökalut
Ehdotus on yksinkertainen: Testaustyökalupalkin ammattilaiset ovat itse asiassa ladattuja: skannerit, haistarit, krakkarit ja verkkovälityspalvelimet selittivät, miten niitä käytetään todellisissa yhteyksissä – komennot, liput, lähdöt ja kunkin menetelmän sijainti. Uskokaa se palvelullemme Tunkeutumistestit ja Linux-palvelinten tietoturva, niin saat täyden kattavuuden: vakava arviointi, siisti käyttöönotto, keskeytyksetön valvonta.