Odprtokodna varnostna orodja
tcpdump: orodje za pakete, ki nikoli ne zapusti strežnika
tcpdump je zajemna polovica analize omrežja in živi na vsakem strežniku, ki se ga dotaknemo. Ko za incident ali poseg potrebujejo dokaze in je škatla oddaljena na stotine kilometrov, tcpdump prek SSH zapiše datoteko, ki jo bo Wireshark analiziral pozneje. Je minimalen, zanesljiv in rahlo smešen na najboljši način: enkratna namestitev, brez GUI in filtri BPF, ki jih lahko vtipkate iz pomnilnika po dveh tednih.
Ključne točke
- Osnovni refleks: tcpdump -i any -n -w evidence.pcap -c 100000 gostitelj 10.0.0.5 in vrata 443 — vmesnik, brez ločljivosti imen, pisanje v datoteko, omejitev števila, filtriranje glede na pomembno.
- -n (nikoli ne razreši imen) se pri poslih ne da pogajati: iskanja DNS med zajemom dodajo šum in puščajo zajem sam.
- Hitro branje besedila uporablja -A ali -X za izpise tovora, ko pa potrebujete dejansko analizo, se ustavite in odnesite datoteko -w v Wireshark.
- BPF je mišični pomnilnik: gostitelj, mreža, vrata, tcp ali udp in kombinirani filtri z in, ali, ne; enkrat se ga naučiš in uporabljaš trideset let.
- Obročni medpomnilniki za dolge zajeme: tcpdump -w capture -C 100 -W 20 zavrti 100 MB datotek, tako da se disk med čakanjem ne napolni.
- Snaplen in rotacijska disciplina: -s0 za polne pakete, ko je to pomembno, velikosti rotacije, nastavljene preden vas infrastruktura zahteva, da počistite napolnjen disk.
- Filtrirni izrazi sestavljajo: tcp[13] & 2 pomenita zastavice SYN, branje filtra zastavic pa je trenutek, ko tcpdump preneha biti strašljiv.
- Uokvirjanje avtorizacije ostane enako v kateri koli škatli, v katero zajemate: mora biti vaš sistem ali v podpisanem obsegu, zajem pa vključuje promet drugih uporabnikov, zato datoteko obravnavajte kot občutljive podatke.
Terenska beležka
Moj najdaljši zajem je bil vrteč se ples z 2 GB na napačno delujočem prehodu — in ostal sem miren samo zato, ker je bil -C 100 -W 20 že nastavljen. Iskanje dokazov, ki jih morate poimenovati, je boljše od razlage napolnjenega diska vsak dan.
Pogosta vprašanja
Zakaj ne bi preprosto zagnali Wiresharka na strežniku?
Teža in cena: GUI in njegovi disektorji na produkcijskem gostitelju so odpadki, strežniki brez glave pa nimajo zaslona; tcpdump je ukazna vrstica polovica istega opravila.
Ali se BPF splača naučiti, ko obstajajo filtri za prikaz?
Da, za zajem: ne morete filtrirati tistega, česar niste shranili, in tesen BPF ohranja majhne datoteke za zajemanje in hitro analizo.
Kako veliki so lahko zajemi?
Neomejeno brez skrbi — za to obstajata -C in -W, zasedena omrežja pa polnijo diske hitreje, kot kdorkoli rezervira čiščenje.
Ali tcpdump deluje v sistemu Windows?
Ne domače; stran Windows je pktmon (sodobna) ali windump builds (podedovana), in pošteno povedano, večina paketnega dela Windows poteka neposredno z Wiresharkom.
Kako Kinetikatech pomaga s odprtokodna varnostna orodja
To smo rešili stotino krat: Strokovnjaki z orodjem za preskušanje dejansko še naprej nalagajo: skenerji, snifferji, krekerji in spletni posredniki so razložili, kako se uporabljajo pri resničnih dogodkih – ukazi, zastavice, izhodi in mesto vsakega v metodologiji. Z Teste prodiranja in Varnost strežnikov Linux dobite celoten cikel: evaluiramo, implementiramo, sledimo nonstop in intervenciramo v 30 minutah, ko je potrebno.