Säkerhetsverktyg med öppen källkod
Wireshark: Läser paket som ett proffs
Wireshark tar en fångstfil och gör nätverket läsligt: varje protokoll som dissekeras, varje ström som kan följas, varje filter en fråga du kan ställa till miljontals paket. På engagemang är det analyssidan av paketarbete — fånga med tcpdump på servern, öppna sedan filen i Wireshark där GUI gör själva läsningen. Färdigheten klickar inte; det är att veta vilken fråga som ska ställas härnäst, från strömrekonstruktion till TLS-dekryptering när engagemangsreglerna tillåter extrahering av hemligheter.
Nyckelpunkter
- Lär dig båda filterspråken och håll dem raka: fångstfilter är BPF (värd 10.0.0.5 och port 443), visningsfilter körs efter fångst (http.request.method == 'POST').
- Follow Stream (högerklicka på valfritt TCP-paket) är arbetshästen: den förvandlar tusen paket till den enda konversationen som betydde något.
- Statistik först, paket sedan: Protokollhierarki och konversationer berättar omedelbart vad infångningen faktiskt innehåller.
- Expertinformation är triagefilen – återsändningar, felaktiga ramar och misstänkta flaggor på ytan som en manuell läsning skulle ta en timme att hitta.
- Dekryptera TLS på ett legitimt sätt: när ett engagemang tillåter det, ladda TLS-nyckelloggfiler eller extraherade hemligheter och handskakningen slutar vara en vägg av chiffertext.
- Fånga inte på en produktionsserver med Wireshark: fånga där med tcpdump -w, analysera offline; GUI och en minneshungrig dissektionsstack hör inte hemma på en företagsvärd.
- Namn fångas per fas (nmap-recon.pcapng, auth-test.pcapng) och hasha dem; ett rapportfynd som inte kan peka på sin råfil är ett rykte.
- Promiskuöst läge innebär att läsa trafik som inte är din: på delade nätverk och Wi-Fi är infångning av andras data utan tillstånd en integritets- och juridisk linje, inte en etikett.
Fältnotis
Follow Stream sparade ett fyra timmar långt fingerpekande möte en gång genom att visa att "appproblemet" var en HTTP-omdirigeringsslinga. Jag öppnar Statistik först nu av reflex — svaret satt i Protokollhierarkin hela tiden.
Vanliga frågor
Wireshark eller tcpdump — vilken använder du egentligen?
Båda, uppdelade efter plats: tcpdump fångar in på servern eftersom den redan finns där och kostar ingenting, analyserar Wireshark på arbetsstationen där dissektorerna tjänar sitt behåll.
Kan den läsa krypterad trafik?
Endast med nycklar från någonstans som är legitima: TLS-nyckelloggar från en konfigurerad slutpunkt eller hemligheter som extraherats under engagemangsregler; utan nycklar visar den chiffersviter och storlekar, inte innehåll.
Är syntaxen för visningsfiltret svår?
Det har en inlärningskurva men det är ett frågespråk värt att lära sig; en vecka med att skriva filter mot labbupptagningar gör det mesta av den dagliga filtreringen automatisk.
Vilket är det första filtret som de flesta proffs lär sig?
Inte ett filter utan en vana: filtrera till den värd och protokoll du bryr dig om, sedan Följ Stream, eftersom svaret vanligtvis lever i en konversation.
Så hjälper Kinetikatech dig med säkerhetsverktyg med öppen källkod
Vi har hanterat det här hundratals gånger: Proffsen i testverktygslådan håller faktiskt laddad: skannrar, sniffers, crackers och webbproxyer förklarade hur de används på verkliga engagemang - kommandon, flaggor, utdata och var var och en sitter i en metodik. Med Penetrationstester och Linux-serversäkerhet får du hela kedjan, vi bedömer, vi genomför, vi håller koll dygnet runt och vi tar befälet inom 30 minuter när det spelar roll.