כלי אבטחה בקוד פתוח
tcpdump: כלי החבילות שלעולם לא עוזב את השרת
tcpdump הוא חצי הלכידה של ניתוח הרשת, והוא חי בכל שרת שאנו נוגעים בו. כאשר אירוע או אירוסין זקוקים להוכחות והקופסה נמצאת במרחק מאות קילומטרים, tcpdump over SSH כותב את הקובץ ש-Wireshark ינתח מאוחר יותר. הוא מינימלי, אמין ומעט מגוחך בצורה הטובה ביותר: התקנה חד פעמית, ללא GUI ומסנני BPF שתוכלו להקליד מהזיכרון לאחר שבועיים.
נקודות עיקריות
- רפלקס הליבה: tcpdump -i any -n -w evidence.pcap -c 100000 host 10.0.0.5 ויציאה 443 - ממשק, ללא רזולוציית שם, כתוב לקובץ, תקריב את הספירה, סינון למה שחשוב.
- -n (לעולם אל תפתור שמות) אינו ניתן למשא ומתן בהתקשרויות: חיפושי DNS במהלך לכידה מוסיפים רעש ומדליפים את הלכידה עצמה.
- קריאת טקסט מהיר השתמש ב-A או -X עבור dump מטען, אבל ברגע שאתה צריך ניתוח ממשי, עצור וקח קובץ -w ל-Wireshark.
- BPF הוא זיכרון השריר: host, net, port, tcp או udp, ומסננים משולבים עם ו, או, לא; אתה לומד אותו פעם אחת ומשתמש בו במשך שלושים שנה.
- מאגרי טבעת ללכידות ארוכות: tcpdump -w capture -C 100 -W 20 מסובב קבצים של 100 מגה-בייט כך שדיסק לא מתמלא בזמן שאתה מחכה.
- משמעת סנאפלן וסיבוב: -s0 עבור מנות מלאות כשזה חשוב, גדלי סיבוב מוגדרים לפני שהתשתית מבקשת ממך לנקות דיסק מלא.
- ביטויי סינון מורכבים: tcp[13] ו-2 מתכוונים לדגלי SYN, וקריאת מסנן דגלים היא הרגע שבו tcpdump מפסיק להיות מפחיד.
- מסגרת ההרשאה נשארת זהה בכל תיבה שאתה מצלם בה: היא חייבת להיות המערכת שלך או בהיקף החתום, והלכידה כוללת תעבורה של משתמשים אחרים, אז התייחס לקובץ כאל נתונים רגישים.
הערת שטח
הצילום הארוך ביותר שלי היה ריקוד מסתובב של 2 ג'יגה-בייט על שער לא מתנהג - ונשארתי רגוע רק כי -C 100 -W 20 כבר הוגדר. חיפוש הוכחות שקיבלת את השם של עצמך מצליח להסביר דיסק מלא בכל יום.
שאלות נפוצות
למה לא להפעיל את Wireshark בשרת?
משקל ועלות: ממשק משתמש ממשק (GUI) והנתחים שלו על מארח ייצור הם בזבוז, ולשרתים חסרי ראש אין תצוגה; tcpdump הוא חצי שורת הפקודה של אותה עבודה.
האם כדאי ללמוד BPF כאשר קיימים מסנני תצוגה?
כן, ללכידה: אתה לא יכול לסנן את מה שלא אחסנת, ו-BPF הדוק שומר על קבצי לכידה קטנים וניתוח מהיר.
כמה גדולות יכולות לכידות להגיע?
ללא גבולות ללא טיפול - בשביל זה קיימים -C ו-W, ורשתות עמוסות ממלאות דיסקים מהר יותר מאשר כל אחד מבצע ניקוי ספרים.
האם tcpdump עובד על Windows?
לא באופן מקורי; הצד של Windows הוא pktmon (מודרני) או windump builds (מורשת), ולמען האמת רוב עבודת המנות של Windows מתרחשת ישירות עם Wireshark.
איך Kinetikatech מסייעת לך ב-כלי אבטחה בקוד פתוח
בכנות, רוב הצוותים מגיעים אלינו אחרי שניסו לבד: אנשי המקצוע של ארגז הכלים לבדיקה ממשיכים לטעון: סורקים, סניפרים, קרקרים ופרוקסי אינטרנט הסבירו את האופן שבו הם משמשים בהתקשרויות אמיתיות - פקודות, דגלים, פלטים, והיכן כל אחד יושב במתודולוגיה. השירות בדיקות חדירה ואבטחת שרתי לינוקס שלנו קיים כדי שלא תלמדו כלי אבטחה בקוד פתוח בדרך הקשה, ושלא תגלו את זה בשיחה בשש בבוקר.