Atvirojo kodo saugos įrankiai
Wireshark: It is skaitykite paketus kaip profesionalas
„Wireshark“ paima fiksavimo failą ir padaro tinklą įskaitomu: kiekvienas protokolas išskaidytas, kiekvienas srautas sekamas, kiekvienas filtras – klausimas, kurį galite užduoti milijonams paketų. Užsiėmimų atveju tai yra paketų darbo analizė – užfiksuokite naudodami tcpdump serveryje, tada atidarykite failą „Wireshark“, kur GUI atlieka faktinį nuskaitymą. Įgūdis nėra spragtelėjimas; tai žinojimas, kurį klausimą užduoti toliau – nuo srauto atkūrimo iki TLS iššifravimo, kai įtraukimo taisyklės leidžia išgauti paslaptis.
Pagrindiniai punktai
- Išmokite abi filtrų kalbas ir laikykite jas tiesiai: fiksavimo filtrai yra BPF (10.0.0.5 kompiuteris ir 443 prievadas), ekrano filtrai veikia po fiksavimo (http.request.method == 'POST').
- „Follow Stream“ (dešiniuoju pelės mygtuku spustelėkite bet kurį TCP paketą) yra darbo arkliukas: jis tūkstantį paketų paverčia vienu svarbiu pokalbiu.
- Pirmiausia statistika, antra – paketai: protokolo hierarchija ir pokalbiai iš karto nurodo, kas iš tikrųjų yra fiksacijoje.
- Ekspertų informacija yra triažo juosta – pakartotinės transliacijos, netinkamai suformuoti kadrai ir įtartinos vėliavėlės rodo klaidas, kurias rankiniu būdu nuskaitant reikia rasti valandą.
- Iššifruokite TLS teisėtu būdu: kai užduotis leidžia tai padaryti, įkelkite TLS rakto žurnalo failus arba ištrauktas paslaptis ir rankos paspaudimas nustos būti šifruoto teksto siena.
- Nefiksuokite gamybos serveryje su Wireshark: fiksuokite ten naudodami tcpdump -w, analizuokite neprisijungę; grafinis vartotojo sąsaja ir atminties ištroškęs išskaidymo dėklas nepriklauso verslo pagrindiniam kompiuteriui.
- Pavadinimas fiksuoja kiekvienoje fazėje (nmap-recon.pcapng, auth-test.pcapng) ir maišas; ataskaitos išvada, kuri negali nurodyti neapdoroto failo, yra gandas.
- Promiscuous režimas reiškia srauto skaitymą, kuris nepriklauso jūsų: bendrinamuose tinkluose ir „Wi-Fi“ tinkle kitų žmonių duomenų fiksavimas be leidimo yra privatumo ir teisinis, o ne etiketo principas.
Pastaba iš praktikos
„Follow Stream“ vieną kartą išsaugojo keturių valandų rodymą pirštu susitikimą, parodydama, kad „programos problema“ buvo viena HTTP peradresavimo kilpa. Dabar pirmiausia atidarau statistiką iš reflekso – atsakymas visą laiką buvo Protokolo hierarchijoje.
Dažniausiai užduodami klausimai
„Wireshark“ ar „tcpdump“ – kurį iš tikrųjų naudojate?
Abu, suskirstyti pagal vietą: „tcpdump“ fiksuoja serveryje, nes jis jau yra ir nieko nekainuoja, „Wireshark“ analizuoja darbo stotyje, kurioje disektoriai užsidirba.
Ar gali nuskaityti užšifruotą srautą?
Tik su raktais iš kur nors teisėto: TLS raktų žurnalai iš sukonfigūruoto galutinio taško arba paslaptys, išskirtos pagal įtraukimo taisykles; be raktų rodomas šifravimo rinkinys ir dydžiai, o ne turinys.
Ar ekrano filtro sintaksė sunki?
Ji turi mokymosi kreivę, bet tai užklausos kalba, kurią verta mokytis; Savaitę rašant filtrus prieš laboratorinius fiksavimus dauguma kasdienių filtrų atliekami automatiškai.
Koks yra pirmasis filtras, kurį išmoksta dauguma specialistų?
Ne vienas filtras, o įprotis: filtruokite pagal jums rūpimą prieglobą ir protokolą, tada stebėkite srautą, nes atsakymas paprastai gyvena viename pokalbyje.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Tai sprendėme šimtus kartų: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Su Pratimų testai ir Linux serverių sauga gaunate visą ciklą: vertiname, įgyvendiname, stebime nepertraukiamai ir reaguojame per 30 minučių, kai reikia.