オープンソースのセキュリティ ツール
tcpdump: サーバーから離れることのないパケット ツール
tcpdump はネットワーク分析のキャプチャの半分であり、私たちが触れるすべてのサーバーに存在します。インシデントや関与に証拠が必要で、ボックスが数百キロメートル離れた場所にある場合、SSH 経由で tcpdump がファイルを書き込み、後で Wireshark が分析します。これは最小限で信頼性が高く、最良の意味で少しばかばかしいものです。1 回限りのインストール、GUI なし、BPF フィルターは 2 週間後にメモリから入力できます。
要点
- コア反射: tcpdump -i any -n -wevidence.pcap -c 100000 host 10.0.0.5 and port 443 — インターフェイス、名前解決なし、ファイルへの書き込み、カウントの制限、重要なもののフィルター。
- -n (名前を解決しない) は、エンゲージメントでは交渉できません。キャプチャ中の DNS ルックアップによりノイズが追加され、キャプチャ自体が漏洩します。
- クイック テキスト読み取りではペイロード ダンプに -A または -X を使用しますが、実際の分析が必要になったら、停止して -w ファイルを Wireshark に取り込みます。
- BPF はマッスル メモリです。ホスト、ネット、ポート、tcp または udp、および and、or、not を組み合わせたフィルターです。一度学べば30年間使い続けることができます。
- 長時間のキャプチャ用のリング バッファ: tcpdump -w Capture -C 100 -W 20 は 100 MB のファイルをローテーションするため、待機中にディスクがいっぱいになることはありません。
- Snaplen とローテーションの規律: 重要な場合はフルパケットの場合は -s0、インフラストラクチャが満杯のディスクのクリーンアップを要求する前にローテーションサイズを設定します。
- フィルタリング式は次のように構成されます: tcp[13] & 2 は SYN フラグを意味し、フラグ フィルタを読み取ると、tcpdump が怖くなくなる瞬間です。
- 認証フレームは、キャプチャするどのボックスでも同じままです。それは自分のシステムであるか、署名されたスコープ内である必要があり、キャプチャには他のユーザーのトラフィックが含まれるため、ファイルは機密データとして扱われます。
現場ノート
私の最長のキャプチャは、不正な動作をしているゲートウェイ上で回転する 2 GB のダンスでした。私が落ち着いたのは、-C 100 -W 20 がすでに設定されていたためだけです。自分の名前を明らかにするために得た証拠を検索することは、いつでも、いっぱいになったディスクについて説明することよりも簡単です。
よくある質問
なぜ単にサーバー上で Wireshark を実行しないのでしょうか?
重量とコスト: 実稼働ホスト上の GUI とそのディセクターは無駄であり、ヘッドレス サーバーにはディスプレイがありません。 tcpdump は、同じジョブのコマンド ラインの半分です。
表示フィルターが存在する場合、BPF を学ぶ価値はありますか?
はい、キャプチャの場合: 保存しなかったものをフィルタリングすることはできません。また、厳密な BPF によりキャプチャ ファイルのサイズが小さくなり、分析が高速に保たれます。
キャプチャはどのくらい大きくなりますか?
ケアせずに無制限に -C と -W はそのために存在し、混雑したネットワークは誰がクリーンアップするよりも早くディスクをいっぱいにします。
tcpdump は Windows 上で動作しますか?
ネイティブではありません。 Windows 側は pktmon (モダン) または Windump ビルド (レガシー) であり、正直なところ、ほとんどの Windows パケット処理は Wireshark で直接行われます。
オープンソースのセキュリティ ツール に対するKinetikatechの支援
シンプルな提案です：テスト ツールボックスの専門家は、スキャナー、スニッファー、クラッカー、Web プロキシなど、実際の業務での使用方法、つまりコマンド、フラグ、出力、およびそれぞれが方法論のどこに位置するのかについて説明しました。 ペネトレーションテストとLinuxサーバーセキュリティサービスにお任せください。徹底的に評価され、クリーンに実装され、24時間監視されます。