Nyílt forráskódú biztonsági eszközök
tcpdump: A csomageszköz, amely soha nem hagyja el a kiszolgálót
A tcpdump a hálózati elemzés rögzítési fele, és minden kiszolgálón él, amelyhez hozzáérünk. Amikor egy incidenshez vagy egy elköteleződéshez bizonyítékra van szükség, és a doboz több száz kilométerre van, a tcpdump az SSH felett megírja a fájlt, amelyet a Wireshark később elemezni fog. Minimális, megbízható és kissé nevetséges a legjobb módon: egyszeri telepítés, nincs grafikus felület, és két hét után memóriából gépelhető BPF-szűrők.
Kulcspontok
- Az alapreflex: tcpdump -i any -n -w bizonyíték.pcap -c 100000 host 10.0.0.5 és 443-as port – interfész, névfeloldás nélkül, fájlba írás, számlálás korlátozása, szűrés arra, ami számít.
- -n (soha ne oldja fel a neveket) nem tárgyalható az elköteleződéseknél: a DNS-keresések a rögzítés során zajt adnak, és magát a rögzítést szivárogtatják.
- A gyorsszöveg-olvasások -A vagy -X-et használnak a rakománykirakásokhoz, de ha tényleges elemzésre van szükséged, állj le, és vigyél egy -w fájlt a Wiresharkba.
- A BPF az izommemória: host, net, port, tcp vagy udp, valamint kombinált szűrők és, vagy nem; egyszer megtanulod és harminc évig használod.
- Csengetési pufferek a hosszú rögzítésekhez: tcpdump -w capture -C 100 -W 20 100 MB-os fájlokat forgat el, így a lemez nem töltődik meg várakozás közben.
- Snaplen és rotációs fegyelem: -s0 a teljes csomagokhoz, amikor ez számít, a forgatási méretek beállítva, mielőtt az infrastruktúra megkérné a megtelt lemez tisztítását.
- A szűrési kifejezések a következőket alkotják: tcp[13] és 2 jelentése SYN flag, és a flags szűrő beolvasása az a pillanat, amikor a tcpdump már nem ijesztő.
- Az engedélyezési keretezés változatlan marad minden olyan dobozban, amelyben rögzíti: a rendszernek vagy az aláírt hatókörben kell lennie, és a rögzítés más felhasználók forgalmát is magában foglalja, ezért kezelje a fájlt érzékeny adatként.
Terepi jegyzet
A leghosszabb felvételem egy forgó 2 GB-os tánc volt egy rosszul működő átjárón – és csak azért maradtam nyugodt, mert a -C 100 -W 20 már be volt állítva. A bizonyítékok keresése, amivel el kell nevezned magad, minden nap megmagyarázza a megtelt lemezt.
Gyakori kérdések
Miért nem futtatja egyszerűen a Wiresharkot a szerveren?
Súly és költség: a grafikus felhasználói felület és szétválasztói egy éles gépen hulladék, és a fej nélküli szervereknek nincs kijelzője; A tcpdump ugyanannak a feladatnak a parancssori fele.
Érdemes megtanulni a BPF-et, ha léteznek kijelzőszűrők?
Igen, a rögzítéshez: nem szűrheti azt, amit nem tárolt, és a szűk BPF miatt a rögzítési fájlok kicsik és az elemzés gyors.
Mekkora lehet a felvétel?
Korlátlan gond nélkül – erre létezik a -C és -W, és a forgalmas hálózatok gyorsabban töltik meg a lemezeket, mint bárki lefoglalja a takarítást.
A tcpdump működik Windowson?
Nem natívan; a Windows oldal pktmon (modern) vagy windump build (örökölt), és őszintén szólva a legtöbb Windows-csomagmunka közvetlenül a Wiresharkkal történik.
Hogyan segít a Kinetikatech a nyílt forráskódú biztonsági eszközök területén
Ezt már több százszor kezeltük: A tesztelő eszköztár szakemberei valójában folyamatosan töltődnek: szkennerek, szippantó készülékek, crackerek és webes proxy-k elmagyarázták, hogyan használják őket valódi műveleteknél – parancsok, jelzők, kimenetek, és hogy mindegyikük hol helyezkedik el a módszertanban. A Behatolási tesztek és Linux-szerverbiztonság szolgáltatással a teljes kört megkapod: felmérünk, bevezetünk, szünet nélkül figyelünk, és szükség esetén 30 percen belül beavatkozunk.