Outils de sécurité open source
tcpdump : l'outil de paquets qui ne quitte jamais le serveur
tcpdump est la moitié de capture de l'analyse réseau, et il vit sur chaque serveur que nous touchons. Lorsqu'un incident ou un engagement nécessite des preuves et que la boîte se trouve à des centaines de kilomètres, tcpdump via SSH écrit le fichier que Wireshark analysera ultérieurement. Il est minimal, fiable et légèrement ridicule dans le meilleur des cas : une installation unique, pas d'interface graphique et des filtres BPF que vous pouvez saisir depuis la mémoire après deux semaines.
Points clés
- Le réflexe de base : tcpdump -i any -n -w proof.pcap -c 100000 hôte 10.0.0.5 et port 443 — interface, pas de résolution de nom, écriture dans un fichier, plafonner le nombre, filtrer ce qui compte.
- -n (ne jamais résoudre les noms) n'est pas négociable sur les engagements : les recherches DNS lors d'une capture ajoutent du bruit et font fuir la capture elle-même.
- Les lectures de texte rapides utilisent -A ou -X pour les vidages de charge utile, mais une fois que vous avez besoin d'une analyse réelle, arrêtez et transférez un fichier -w vers Wireshark.
- BPF est la mémoire musculaire : hôte, réseau, port, tcp ou udp, et filtres combinés avec et, ou, non ; vous l'apprenez une fois et l'utilisez pendant trente ans.
- Tampons en anneau pour les captures longues : tcpdump -w capture -C 100 -W 20 fait pivoter les fichiers de 100 Mo afin qu'un disque ne se remplisse pas pendant que vous attendez.
- Snaplen et discipline de rotation : -s0 pour les paquets complets lorsque cela est important, tailles de rotation définies avant que l'infrastructure ne vous demande de nettoyer un disque rempli.
- Les expressions de filtrage composent : tcp[13] & 2 signifient des drapeaux SYN, et la lecture d'un filtre de drapeaux est le moment où tcpdump cesse d'être effrayant.
- Le cadrage de l'autorisation reste le même sur n'importe quelle boîte sur laquelle vous capturez : il doit s'agir de votre système ou dans la portée signée, et la capture inclut le trafic des autres utilisateurs, alors traitez le fichier comme une donnée sensible.
Note de terrain
Ma capture la plus longue était une danse en rotation de 2 Go sur une passerelle qui se comportait mal - et je suis resté calme uniquement parce que -C 100 -W 20 avait déjà été réglé. Rechercher des preuves que vous devez vous nommer vaut mieux expliquer un disque rempli n'importe quel jour.
Questions fréquentes
Pourquoi ne pas simplement exécuter Wireshark sur le serveur ?
Poids et coût : une interface graphique et ses dissecteurs sur un hôte de production sont du gaspillage, et les serveurs sans tête n'ont pas d'affichage ; tcpdump est la moitié en ligne de commande du même travail.
BPF vaut-il la peine d'être appris lorsque des filtres d'affichage existent ?
Oui, pour la capture : vous ne pouvez pas filtrer ce que vous n'avez pas stocké, et un BPF strict permet de garder les fichiers de capture petits et d'analyser rapidement.
Quelle taille peuvent atteindre les captures ?
Illimité sans souci — c'est pour cela que -C et -W existent, et les réseaux occupés remplissent les disques plus rapidement que quiconque ne livre le nettoyage.
tcpdump fonctionne-t-il sous Windows ?
Pas nativement ; le côté Windows est constitué de versions pktmon (modernes) ou Windump (héritées), et honnêtement, la plupart des travaux de paquets Windows se produisent directement avec Wireshark.
Comment Kinetikatech vous aide avec outils de sécurité open source
Vous ne devriez pas avoir à devenir expert en outils de sécurité open source : Les professionnels de la boîte à outils de test restent chargés : les scanners, les renifleurs, les crackers et les proxys Web expliquent la manière dont ils sont utilisés lors d'engagements réels : commandes, indicateurs, sorties et où chacun se situe dans une méthodologie. C'est exactement à cela que sert Tests d'intrusion et Sécurité des serveurs Linux : installation, durcissement, supervision et un ingénieur d'astreinte jour et nuit.