Sigurnosni alati otvorenog koda
tcpdump: Alat za pakete koji nikada ne napušta poslužitelj
tcpdump je polovica za snimanje mrežne analize i živi na svakom poslužitelju kojeg dotaknemo. Kada je za incident ili angažman potreban dokaz, a kutija je udaljena stotinama kilometara, tcpdump preko SSH-a piše datoteku koju će Wireshark kasnije analizirati. Minimalan je, pouzdan i pomalo smiješan na najbolji način: jednokratna instalacija, bez GUI-a i BPF filtri koje možete upisati iz memorije nakon dva tjedna.
Ključne točke
- Temeljni refleks: tcpdump -i bilo koji -n -w evidence.pcap -c 100000 host 10.0.0.5 i port 443 — sučelje, bez rezolucije imena, pisanje u datoteku, ograničenje broja, filtriranje prema onome što je bitno.
- -n (nikada ne razrješi imena) o angažmanima se ne može pregovarati: DNS traženja tijekom snimanja dodaju šum i propuštaju samo snimanje.
- Brzo čitanje teksta koristi -A ili -X za ispise korisnih podataka, ali kada trebate stvarnu analizu, zaustavite se i odnesite -w datoteku u Wireshark.
- BPF je mišićna memorija: host, net, port, tcp ili udp i kombinirani filtri s i, ili, ne; naučiš jednom i koristiš trideset godina.
- Prstenasti međuspremnici za duga snimanja: tcpdump -w capture -C 100 -W 20 rotira datoteke od 100 MB tako da se disk ne puni dok čekate.
- Snaplen i disciplina rotacije: -s0 za pune pakete kada je to važno, veličine rotacije postavljene prije nego što infrastruktura od vas zatraži da očistite popunjeni disk.
- Izrazi za filtriranje sastoje se od: tcp[13] & 2 znače SYN zastavice, a čitanje filtra zastavica je trenutak kada tcpdump prestaje biti zastrašujući.
- Uokvirivanje autorizacije ostaje isto na svim okvirima na kojima snimate: to mora biti vaš sustav ili u potpisanom opsegu, a snimanje uključuje promet drugih korisnika, stoga tretirajte datoteku kao osjetljive podatke.
Terenska bilješka
Moje najduže snimanje bilo je rotirajući ples od 2 GB na pristupniku koji se loše ponašao — i ostao sam smiren samo zato što je -C 100 -W 20 već bio postavljen. Traženje dokaza koje morate sami navesti bolje je od objašnjavanja ispunjenog diska svaki dan.
Često postavljana pitanja
Zašto jednostavno ne pokrenete Wireshark na poslužitelju?
Težina i cijena: GUI i njegovi disektori na proizvodnom hostu su otpad, a poslužitelji bez glave nemaju zaslon; tcpdump je linija za naredbe polovica istog posla.
Isplati li se naučiti BPF kada postoje filtri za prikaz?
Da, za snimanje: ne možete filtrirati ono što niste pohranili, a čvrsti BPF održava male datoteke snimanja i brzu analizu.
Kolika mogu biti hvatanja?
Neograničeno bez brige — za to postoje -C i -W, a prometne mreže pune diskove brže nego što itko rezervira čišćenje.
Radi li tcpdump na Windowsima?
Nije izvorno; Windows strana je pktmon (moderno) ili windump builds (nasljeđe), i iskreno, većina Windows paketa se radi izravno s Wiresharkom.
Kako Kinetikatech pomaže kod sigurnosni alati otvorenog koda
Ne morate postati stručnjak za sigurnosni alati otvorenog koda: Profesionalci s alatima za testiranje zapravo drže punim: skeneri, snifferi, krekeri i web proxyji objasnili su način na koji se koriste u stvarnim angažmanima — naredbe, oznake, izlazi i mjesto svakog od njih u metodologiji. Upravo za to postoji Testovi prodiranja i Sigurnost Linux servera: puštanje u rad, jačanje, nadzor i dežurna osoba dan i noć.