Instrumente de securitate open-source
tcpdump: Instrumentul de pachete care nu părăsește serverul
tcpdump este jumătatea de captură a analizei rețelei și trăiește pe fiecare server pe care îl atingem. Când un incident sau o implicare are nevoie de dovezi și caseta este la sute de kilometri distanță, tcpdump over SSH scrie fișierul pe care Wireshark îl va analiza mai târziu. Este minim, de încredere și ușor ridicol în cel mai bun mod: o instalare unică, fără GUI și filtre BPF pe care le puteți introduce din memorie după două săptămâni.
Puncte-cheie
- Reflexul de bază: tcpdump -i any -n -w evidence.pcap -c 100000 gazdă 10.0.0.5 și portul 443 — interfață, fără rezoluție de nume, scrieți în fișier, limitați numărul, filtrați la ceea ce contează.
- -n (nu se rezolvă niciodată numele) nu este negociabil la interacțiuni: căutările DNS în timpul unei capturi adaugă zgomot și scurg captura în sine.
- Citirile rapide de text folosesc -A sau -X pentru depozitele de încărcare utilă, dar odată ce aveți nevoie de o analiză reală, opriți și duceți un fișier -w la Wireshark.
- BPF este memoria musculară: gazdă, net, port, tcp sau udp și filtre combinate cu și, sau, nu; îl înveți o dată și îl folosești timp de treizeci de ani.
- Buffer-uri de apel pentru capturi lungi: tcpdump -w capture -C 100 -W 20 rotește fișiere de 100 MB, astfel încât un disc să nu se umple în timp ce așteptați.
- Snaplen și disciplina de rotație: -s0 pentru pachetele pline atunci când este important, dimensiunile de rotație stabilite înainte ca infrastructura să vă solicite să curățați un disc plin.
- Expresiile de filtrare compun: tcp[13] și 2 înseamnă steaguri SYN, iar citirea unui filtru de steaguri este momentul în care tcpdump încetează să fie înfricoșător.
- Încadrarea autorizației rămâne aceeași pe orice casetă în care capturați: trebuie să fie sistemul dvs. sau în domeniul semnat, iar captura include traficul altor utilizatori, așa că tratați fișierul ca date sensibile.
Notă de teren
Cea mai lungă captură a mea a fost un dans rotativ de 2 GB pe un gateway care se comporta prost - și am rămas calm doar pentru că -C 100 -W 20 fusese deja setat. Căutarea dovezilor pe care trebuie să-ți numiți mai mult decât să explici un disc plin în orice zi.
Întrebări frecvente
De ce nu rulați Wireshark pe server?
Greutate și cost: o interfață grafică și disectoarele sale pe o gazdă de producție sunt deșeuri, iar serverele fără cap nu au afișaj; tcpdump este jumătatea liniei de comandă a aceluiași job.
Merită învățat BPF când există filtre de afișare?
Da, pentru captură: nu puteți filtra ceea ce nu ați stocat, iar un BPF strâns menține fișierele de capturare mici și analiza rapidă.
Cât de mari pot obține capturile?
Nelimitat fără grijă - pentru asta există -C și -W, iar rețelele ocupate umplu discurile mai repede decât curățarea cărților oricine.
Funcționează tcpdump pe Windows?
Nu nativ; partea Windows este pktmon (modern) sau windump builds (moștenire), și sincer, majoritatea pachetelor de lucru Windows se întâmplă direct cu Wireshark.
Cum ajută Kinetikatech la instrumente de securitate open-source
Propunerea e simplă: Profesioniștii din cutia de instrumente de testare păstrează de fapt încărcați: scanere, sniffer, crackere și proxy-uri web au explicat modul în care sunt utilizate în angajamente reale - comenzi, steaguri, ieșiri și unde se află fiecare într-o metodologie. Încredințează-i serviciului nostru Teste de penetrare and Securitate servere Linux și ai acoperire completă: evaluare serioasă, implementare curată, monitorizare non-stop.