ओपन-सोर्स सुरक्षा उपकरण
वायरशार्क: एक पेशेवर की तरह पैकेट पढ़ना
वायरशार्क एक कैप्चर फ़ाइल लेता है और नेटवर्क को सुपाठ्य बनाता है: प्रत्येक प्रोटोकॉल विच्छेदित, प्रत्येक स्ट्रीम अनुसरण करने योग्य, प्रत्येक फ़िल्टर एक प्रश्न जो आप लाखों पैकेटों से पूछ सकते हैं। संलग्नक पर यह पैकेट कार्य का विश्लेषण पक्ष है - सर्वर पर tcpdump के साथ कैप्चर करें, फिर फ़ाइल को वायरशार्क में खोलें जहां GUI वास्तविक रीडिंग करता है। कौशल क्लिक करना नहीं है; यह जान रहा है कि स्ट्रीम पुनर्निर्माण से लेकर टीएलएस डिक्रिप्शन तक अगला कौन सा प्रश्न पूछना है, जब सहभागिता नियम रहस्य निकालने की अनुमति देते हैं।
मुख्य बिंदु
- दोनों फ़िल्टर भाषाएँ सीखें और उन्हें सीधा रखें: कैप्चर फ़िल्टर BPF (होस्ट 10.0.0.5 और पोर्ट 443) हैं, डिस्प्ले फ़िल्टर कैप्चर के बाद चलते हैं (http.request.method == 'POST')।
- फॉलो स्ट्रीम (किसी भी टीसीपी पैकेट पर राइट-क्लिक करें) वर्कहॉर्स है: यह एक हजार पैकेट को एक वार्तालाप में बदल देता है जो मायने रखता है।
- आंकड़े पहले, पैकेट दूसरे: प्रोटोकॉल पदानुक्रम और वार्तालाप आपको तुरंत बताते हैं कि कैप्चर में वास्तव में क्या है।
- विशेषज्ञ जानकारी ट्राइएज लेन है - पुन: प्रसारण, विकृत फ्रेम, और संदिग्ध झंडे की सतह की त्रुटियां, मैन्युअल रूप से पढ़ने पर ढूंढने में एक घंटा लगेगा।
- टीएलएस को वैध तरीके से डिक्रिप्ट करें: जब कोई सगाई इसे अधिकृत करती है, तो टीएलएस कुंजी लॉग फ़ाइलों या निकाले गए रहस्यों को लोड करें और हैंडशेक सिफरटेक्स्ट की दीवार बनना बंद कर देता है।
- वायरशार्क के साथ उत्पादन सर्वर पर कैप्चर न करें: वहां tcpdump -w के साथ कैप्चर करें, ऑफ़लाइन विश्लेषण करें; जीयूआई और स्मृति-भूखे विच्छेदन स्टैक किसी व्यावसायिक होस्ट से संबंधित नहीं हैं।
- प्रति चरण नाम कैप्चर (nmap-recon.pcapng, auth-test.pcapng) और उन्हें हैश करें; एक रिपोर्ट जो इसकी कच्ची फ़ाइल की ओर इशारा नहीं कर सकती, एक अफवाह है।
- प्रॉमिसस मोड का अर्थ है उस ट्रैफ़िक को पढ़ना जो आपका नहीं है: साझा नेटवर्क और वाई-फाई पर, प्राधिकरण के बिना अन्य लोगों के डेटा को कैप्चर करना एक गोपनीयता और कानूनी रेखा है, शिष्टाचार नहीं।
क्षेत्रीय टिप्पणी
फॉलो स्ट्रीम ने 'ऐप इश्यू' को एक HTTP रीडायरेक्ट लूप दिखाकर एक बार चार घंटे की फिंगर-पॉइंटिंग मीटिंग को बचाया। अब मैं रिफ्लेक्स से बाहर होकर सबसे पहले सांख्यिकी खोलता हूं - उत्तर पूरे समय प्रोटोकॉल पदानुक्रम में बैठा था।
अक्सर पूछे जाने वाले प्रश्न
वायरशार्क या टीसीपीडम्प - आप वास्तव में किसका उपयोग करते हैं?
दोनों, स्थान के आधार पर विभाजित: tcpdump सर्वर पर कैप्चर करता है क्योंकि यह पहले से ही वहां है और इसकी कोई लागत नहीं है, वायरशार्क वर्कस्टेशन पर विश्लेषण करता है जहां विच्छेदनकर्ता अपनी कमाई कमाते हैं।
क्या यह एन्क्रिप्टेड ट्रैफ़िक पढ़ सकता है?
केवल कहीं से वैध कुंजियों के साथ: कॉन्फ़िगर किए गए समापन बिंदु से टीएलएस कुंजी लॉग या सगाई नियमों के तहत निकाले गए रहस्य; कुंजियों के बिना यह सिफर सुइट्स और आकार दिखाता है, सामग्री नहीं।
क्या डिस्प्ले फ़िल्टर सिंटैक्स कठिन है?
इसमें सीखने की अवस्था है लेकिन यह सीखने लायक एक क्वेरी भाषा है; लैब कैप्चर के विरुद्ध फ़िल्टर लिखने का एक सप्ताह अधिकांश दैनिक फ़िल्टरिंग को स्वचालित बना देता है।
अधिकांश पेशेवर कौन सा पहला फ़िल्टर सीखते हैं?
एक फ़िल्टर नहीं बल्कि एक आदत: होस्ट और प्रोटोकॉल को फ़िल्टर करें जिसकी आप परवाह करते हैं, फिर स्ट्रीम का अनुसरण करें, क्योंकि उत्तर आमतौर पर एक वार्तालाप में रहता है।
ओपन-सोर्स सुरक्षा उपकरण में Kinetikatech कैसे सहायता करता है
यही हमारा रोज़ का काम है: परीक्षण टूलबॉक्स पेशेवर वास्तव में लोड रहते हैं: स्कैनर, स्निफ़र, क्रैकर, और वेब प्रॉक्सी ने समझाया कि उनका उपयोग वास्तविक संलग्नक - कमांड, झंडे, आउटपुट, और जहां प्रत्येक एक पद्धति में बैठता है, पर किया जाता है। हमारी पैठ परीक्षण और Linux सर्वर सुरक्षा सेवा इसे शुरू से अंत तक कवर करती है: आकलन, कार्यान्वयन, 24/7 निगरानी और 30 मिनट में आपात प्रतिक्रिया।