Ferramentas de segurança de código aberto
tcpdump: a ferramenta de pacotes que nunca sai do servidor
tcpdump é a metade de captura da análise de rede e reside em todos os servidores que tocamos. Quando um incidente ou envolvimento precisa de evidências e a caixa está a centenas de quilômetros de distância, o tcpdump sobre SSH grava o arquivo que o Wireshark analisará posteriormente. É mínimo, confiável e um pouco ridículo da melhor maneira: uma instalação única, sem GUI e filtros BPF que você pode digitar da memória após duas semanas.
Pontos principais
- O reflexo principal: tcpdump -i any -n -w evidencia.pcap -c 100000 host 10.0.0.5 e porta 443 - interface, sem resolução de nome, gravação em arquivo, limite de contagem, filtro para o que importa.
- -n (nunca resolver nomes) não é negociável em compromissos: pesquisas de DNS durante uma captura adicionam ruído e vazam a própria captura.
- Leituras rápidas de texto usam -A ou -X para dumps de carga útil, mas quando você precisar de uma análise real, pare e leve um arquivo -w para o Wireshark.
- BPF é a memória muscular: host, net, port, tcp ou udp, e filtros combinados com e, ou, não; você aprende uma vez e usa por trinta anos.
- Ring buffers para capturas longas: tcpdump -w capture -C 100 -W 20 gira arquivos de 100 MB para que o disco não fique cheio enquanto você espera.
- Snaplen e disciplina de rotação: -s0 para pacotes completos quando for importante, tamanhos de rotação definidos antes que a infraestrutura solicite que você limpe um disco cheio.
- As expressões de filtragem compõem: tcp[13] & 2 significam sinalizadores SYN, e a leitura de um filtro de sinalizadores é o momento em que o tcpdump deixa de ser assustador.
- O enquadramento de autorização permanece o mesmo em qualquer caixa em que você captura: deve ser o seu sistema ou no escopo assinado, e a captura inclui o tráfego de outros usuários, portanto, trate o arquivo como dados confidenciais.
Nota de campo
Minha captura mais longa foi uma dança giratória de 2 GB em um gateway com comportamento incorreto - e só fiquei calmo porque -C 100 -W 20 já havia sido definido. Pesquisar evidências de que você conseguiu se identificar é melhor do que explicar um disco cheio a qualquer momento.
Perguntas frequentes
Por que não apenas executar o Wireshark no servidor?
Peso e custo: uma GUI e seus dissecadores em um host de produção são um desperdício e servidores headless não têm exibição; tcpdump é a metade da linha de comando do mesmo trabalho.
Vale a pena aprender BPF quando existem filtros de exibição?
Sim, para captura: você não pode filtrar o que não armazenou, e um BPF restrito mantém os arquivos de captura pequenos e a análise rápida.
Qual o tamanho das capturas?
Ilimitado e sem cuidado - é para isso que existem -C e -W, e redes ocupadas preenchem discos mais rápido do que qualquer pessoa reserva para limpeza.
O tcpdump funciona no Windows?
Não nativamente; o lado do Windows é pktmon (moderno) ou windump builds (legado) e, honestamente, a maior parte do trabalho de pacotes do Windows acontece diretamente com o Wireshark.
Como a Kinetikatech ajuda com ferramentas de segurança de código aberto
Você não deveria precisar virar especialista em ferramentas de segurança de código aberto: Os profissionais da caixa de ferramentas de teste realmente se mantêm carregados: scanners, sniffers, crackers e proxies da web explicaram como são usados em compromissos reais - comandos, sinalizadores, saídas e onde cada um se enquadra em uma metodologia. É exatamente para isso que existe Testes de penetração e Segurança de servidores Linux: configuração, blindagem, monitoramento e um engenheiro de plantão dia e noite.