Sikkerhetsverktøy med åpen kildekode
tcpdump: Pakkeverktøyet som aldri forlater serveren
tcpdump er fangsthalvdelen av nettverksanalyse, og den lever på hver server vi berører. Når en hendelse eller et engasjement trenger bevis og boksen er hundrevis av kilometer unna, skriver tcpdump over SSH filen som Wireshark vil analysere senere. Det er minimalt, pålitelig og litt latterlig på den beste måten: en engangsinstallasjon, ingen GUI og BPF-filtre du kan skrive fra minnet etter to uker.
Nøkkelpunkter
- Kjernerefleksen: tcpdump -i any -n -w evidence.pcap -c 100000 vert 10.0.0.5 og port 443 — grensesnitt, ingen navneoppløsning, skriv til fil, begrense antallet, filtrer etter det som betyr noe.
- -n (aldri løs navn) er ikke omsettelig på engasjementer: DNS-oppslag under en fangst legger til støy og lekker selve fangsten.
- Rask tekstleser bruk -A eller -X for nyttelastdumper, men når du trenger faktisk analyse, stopp og ta en -w-fil til Wireshark.
- BPF er muskelminnet: vert, nett, port, tcp eller udp, og kombinerte filtre med og, eller, ikke; du lærer det én gang og bruker det i tretti år.
- Ringebuffere for lange opptak: tcpdump -w capture -C 100 -W 20 roterer 100 MB filer slik at en disk ikke fylles mens du venter.
- Snaplen og rotasjonsdisiplin: -s0 for fulle pakker når det gjelder, rotasjonsstørrelser satt før infrastruktur ber deg rydde opp i en fylt disk.
- Filtreringsuttrykk består av: tcp[13] og 2 betyr SYN-flagg, og å lese et flaggfilter er det øyeblikket tcpdump slutter å være skummelt.
- Autorisasjonsinnramming forblir den samme på alle bokser du registrerer på: det må være systemet ditt eller i det signerte omfanget, og registreringen inkluderer andre brukeres trafikk, så behandle filen som sensitive data.
Feltnotat
Min lengste opptak var en roterende 2 GB-dans på en gateway som ikke oppfører seg – og jeg holdt meg bare rolig fordi -C 100 -W 20 allerede var satt. Å lete etter bevis du må navngi deg selv slår å forklare en fylt disk hver dag.
Vanlige spørsmål
Hvorfor ikke bare kjøre Wireshark på serveren?
Vekt og kostnad: en GUI og dens dissektorer på en produksjonsvert er bortkastet, og hodeløse servere har ingen skjerm; tcpdump er kommandolinjehalvdelen av den samme jobben.
Er BPF verdt å lære når skjermfiltre eksisterer?
Ja, for fangst: du kan ikke filtrere det du ikke har lagret, og en tett BPF holder fangstfiler små og analyserer raskt.
Hvor store kan fangstene bli?
Ubegrenset uten omtanke - det er det -C og -W eksisterer for, og travle nettverk fyller disker raskere enn noen bestiller opprydding.
Fungerer tcpdump på Windows?
Ikke innfødt; Windows-siden er pktmon (moderne) eller windump builds (legacy), og ærlig talt skjer det meste av Windows-pakkearbeid med Wireshark direkte.
Slik hjelper Kinetikatech med sikkerhetsverktøy med åpen kildekode
Ærlig talt, de fleste team finner oss etter at de har prøvd selv først: De profesjonelle testverktøykassene holder faktisk lastet: skannere, sniffere, crackere og nettproxyer forklarte måten de brukes på ekte engasjementer - kommandoer, flagg, utganger og hvor hver enkelt sitter i en metodikk. Vår tjeneste Inntrengningstesting og Sikring av Linux-servere finnes for at du ikke skal lære sikkerhetsverktøy med åpen kildekode på den harde måten; vi tar oss av iverksettingen, overvåkingen og overraskelsene klokka tre om natten.