Инструменты безопасности с открытым исходным кодом
tcpdump: инструмент обработки пакетов, который никогда не покидает сервер
tcpdump — это часть сетевого анализа, и он существует на каждом сервере, к которому мы обращаемся. Когда инцидент или взаимодействие требуют доказательств, а ящик находится за сотни километров, tcpdump через SSH записывает файл, который Wireshark проанализирует позже. Он минимален, надежен и в лучшем смысле немного смешон: однократная установка, отсутствие графического интерфейса и фильтры BPF, которые можно набирать по памяти через две недели.
Главное
- Основной рефлекс: tcpdump -i Any -n -w Assessment.pcap -c 100000 хост 10.0.0.5 и порт 443 — интерфейс, без разрешения имен, запись в файл, ограничение счетчика, фильтрация по тому, что важно.
- Параметр -n (никогда не разрешать имена) не подлежит обсуждению при взаимодействии: поиск DNS во время захвата добавляет шум и приводит к утечке самого захвата.
- Для быстрого чтения текста используйте -A или -X для дампов полезной нагрузки, но как только вам понадобится реальный анализ, остановитесь и передайте файл -w в Wireshark.
- BPF — это мышечная память: хост, сеть, порт, TCP или UDP и комбинированные фильтры с и или нет; вы выучите его один раз и будете использовать его тридцать лет.
- Кольцевые буферы для длительных захватов: tcpdump -w capture -C 100 -W 20 вращает файлы размером 100 МБ, поэтому диск не заполняется, пока вы ждете.
- Snaplen и дисциплина ротации: -s0 для полных пакетов, когда это важно, размеры ротации устанавливаются до того, как инфраструктура попросит вас очистить заполненный диск.
- Выражения фильтрации составляют: tcp[13] и 2 означают флаги SYN, а чтение фильтра флагов — это момент, когда tcpdump перестает быть пугающим.
- Рамка авторизации остается одинаковой для любого ящика, который вы захватываете: это должна быть ваша система или подписанная область, а захват включает в себя трафик других пользователей, поэтому относитесь к файлу как к конфиденциальным данным.
Заметка из практики
Моим самым длинным захватом был танец с ротацией 2 ГБ на плохо работающем шлюзе — и я сохранял спокойствие только потому, что -C 100 -W 20 уже был установлен. Поиск доказательств, которые вы должны назвать, важнее объяснения заполненного диска в любой день.
Частые вопросы
Почему бы просто не запустить Wireshark на сервере?
Вес и стоимость: графический интерфейс и его диссекторы на рабочем хосте являются отходами, а у автономных серверов нет дисплея; tcpdump — это половина того же задания, выполняемая из командной строки.
Стоит ли изучать BPF, когда существуют фильтры отображения?
Да, для захвата: вы не можете фильтровать то, что вы не сохранили, а строгий BPF позволяет сохранять файлы захвата небольшими и ускорять анализ.
Насколько большими могут быть захваты?
Неограниченность и беззаботность — вот для чего существуют -C и -W, а загруженные сети заполняют диски быстрее, чем кто-либо заказывает очистку.
Работает ли tcpdump в Windows?
Не изначально; на стороне Windows используются сборки pktmon (современные) или Windump (устаревшие), и, честно говоря, большая часть работы с пакетами Windows происходит напрямую с Wireshark.
Как мы берём на себя инструменты безопасности с открытым исходным кодом
Это то, чем мы занимаемся каждый день: Профессионалы по инструментам тестирования на самом деле продолжают работать: сканеры, снифферы, взломщики и веб-прокси объясняют, как они используются в реальных заданиях — команды, флаги, выходные данные и место каждого из них в методологии. Наша услуга Тесты на проникновение и Безопасность серверов Linux закрывает задачу целиком — оценка, внедрение, круглосуточный мониторинг и экстренная реакция в течение 30 минут.