Sikkerhetsverktøy med åpen kildekode
Wireshark: Leser pakker som profesjonelle
Wireshark tar en fangstfil og gjør nettverket lesbart: hver protokoll dissekert, hver strøm kan følges, hvert filter et spørsmål du kan stille til millioner av pakker. På engasjementer er det analysesiden av pakkearbeid - fang med tcpdump på serveren, åpne deretter filen i Wireshark der GUI gjør selve lesingen. Ferdigheten klikker ikke; det er å vite hvilket spørsmål som skal stilles neste gang, fra strømrekonstruksjon til TLS-dekryptering når engasjementreglene tillater å trekke ut hemmeligheter.
Nøkkelpunkter
- Lær begge filterspråkene og hold dem rett: fangstfiltre er BPF (vert 10.0.0.5 og port 443), visningsfiltre kjøres etter fangst (http.request.method == 'POST').
- Follow Stream (høyreklikk på hvilken som helst TCP-pakke) er arbeidshesten: den gjør tusen pakker til den ene samtalen som betydde noe.
- Statistikk først, pakker dernest: Protokollhierarki og samtaler forteller deg umiddelbart hva fangsten faktisk inneholder.
- Ekspertinformasjon er triage-banen - retransmissioner, misformede rammer og mistenkelige flaggoverflatefeil som en manuell lesing vil ta en time å finne.
- Dekrypter TLS på den legitime måten: når et engasjement autoriserer det, last inn TLS-nøkkelloggfiler eller utpakkede hemmeligheter og håndtrykket slutter å være en vegg av chiffertekst.
- Ikke ta opp på en produksjonsserver med Wireshark: ta opp der med tcpdump -w, analyser offline; GUI og en minnehungrende disseksjonsstabel hører ikke hjemme på en bedriftsvert.
- Gi navn per fase (nmap-recon.pcapng, auth-test.pcapng) og hash dem; et rapportfunn som ikke kan vise til råfilen er et rykte.
- Promiskuøs modus betyr å lese trafikk som ikke er din: på delte nettverk og Wi-Fi er det å fange andres data uten autorisasjon en personvern og juridisk linje, ikke en etikette.
Feltnotat
Follow Stream lagret et fire timer langt fingerpekemøte én gang ved å vise at "appproblemet" var en HTTP-omdirigeringsløkke. Jeg åpner Statistikk først nå av refleks - svaret ble sittende i Protokollhierarki hele tiden.
Vanlige spørsmål
Wireshark eller tcpdump - hvilken bruker du egentlig?
Begge deler, delt etter plassering: tcpdump fanger opp på serveren fordi den allerede er der og koster ingenting, analyserer Wireshark på arbeidsstasjonen der dissektorene tjener seg.
Kan den lese kryptert trafikk?
Bare med nøkler fra et legitimt sted: TLS-nøkkellogger fra et konfigurert endepunkt eller hemmeligheter hentet ut under engasjementsregler; uten nøkler viser den chiffersuiter og størrelser, ikke innhold.
Er syntaksen for skjermfilteret vanskelig?
Det har en læringskurve, men det er et spørrespråk som er verdt å lære; en uke med skriving av filtre mot lab-opptak gjør det meste av daglig filtrering automatisk.
Hva er det første filteret de fleste profesjonelle lærer?
Ikke ett filter, men en vane: filtrer til verten og protokollen du bryr deg om, og følg Stream, fordi svaret vanligvis lever i én samtale.
Slik hjelper Kinetikatech med sikkerhetsverktøy med åpen kildekode
Forslaget er enkelt: De profesjonelle testverktøykassene holder faktisk lastet: skannere, sniffere, crackere og nettproxyer forklarte måten de brukes på ekte engasjementer - kommandoer, flagg, utganger og hvor hver enkelt sitter i en metodikk. Betro det til vår tjeneste Inntrengningstesting og Sikring av Linux-servere og du får full dekning: grundig evaluering, ren implementering, kontinuerlig overvåking.