เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
Wireshark: อ่านแพ็คเก็ตอย่างมืออาชีพ
Wireshark รับไฟล์จับภาพและทำให้เครือข่ายอ่านง่าย: ทุกโปรโตคอลถูกแยกออก, ทุกสตรีมที่ติดตามได้, ทุกตัวกรองมีคำถามที่คุณสามารถถามแพ็กเก็ตนับล้านได้ ในการนัดหมาย มันเป็นด้านการวิเคราะห์ของงานแพ็กเก็ต — จับภาพด้วย tcpdump บนเซิร์ฟเวอร์ จากนั้นเปิดไฟล์ใน Wireshark โดยที่ GUI ทำการอ่านจริง ทักษะไม่คลิก คือการรู้ว่าจะต้องถามคำถามไหนต่อไป ตั้งแต่การสร้างสตรีมใหม่ไปจนถึงการถอดรหัส TLS เมื่อกฎการมีส่วนร่วมอนุญาตให้แยกความลับได้
ประเด็นสำคัญ
- เรียนรู้ทั้งภาษาตัวกรองและทำให้มันตรงไปตรงมา: ตัวกรองการจับภาพคือ BPF (โฮสต์ 10.0.0.5 และพอร์ต 443) ตัวกรองการแสดงผลจะทำงานหลังจากการจับภาพ (http.request.method == 'POST')
- Follow Stream (คลิกขวาที่แพ็กเก็ต TCP ใดๆ) เป็นเครื่องมือสำคัญ: โดยจะเปลี่ยนแพ็กเก็ตนับพันให้เป็นการสนทนาเดียวที่สำคัญ
- สถิติก่อน แพ็กเก็ตที่สอง: ลำดับชั้นของโปรโตคอลและการสนทนาจะบอกคุณทันทีว่าจริงๆ แล้วการดักจับประกอบด้วยอะไรบ้าง
- ข้อมูลผู้เชี่ยวชาญคือช่องทางคัดแยก - การส่งสัญญาณซ้ำ เฟรมที่มีรูปแบบไม่ถูกต้อง และข้อผิดพลาดพื้นผิวธงที่น่าสงสัย ซึ่งการอ่านด้วยตนเองจะใช้เวลาหนึ่งชั่วโมงในการค้นหา
- ถอดรหัส TLS ด้วยวิธีที่ถูกต้อง: เมื่อการมีส่วนร่วมอนุญาต ให้โหลดไฟล์บันทึกคีย์ TLS หรือแยกความลับออกมา จากนั้นการจับมือกันจะหยุดเป็นกำแพงของไซเฟอร์เท็กซ์
- อย่าจับภาพบนเซิร์ฟเวอร์ที่ใช้งานจริงด้วย Wireshark: จับภาพที่นั่นด้วย tcpdump -w วิเคราะห์ออฟไลน์ GUI และสแต็กการแยกส่วนที่กินหน่วยความจำมากไม่ได้อยู่ในโฮสต์ธุรกิจ
- การจับชื่อต่อเฟส (nmap-recon.pcapng, auth-test.pcapng) และแฮชพวกมัน รายงานที่พบว่าไม่สามารถชี้ไปที่ไฟล์ดิบได้นั้นเป็นข่าวลือ
- โหมดสำส่อนหมายถึงการอ่านการรับส่งข้อมูลที่ไม่ใช่ของคุณ: บนเครือข่ายที่ใช้ร่วมกันและ Wi-Fi การบันทึกข้อมูลของบุคคลอื่นโดยไม่ได้รับอนุญาตถือเป็นความเป็นส่วนตัวและบรรทัดฐานทางกฎหมาย ไม่ใช่มารยาท
บันทึกจากหน้างาน
Follow Stream บันทึกการประชุมโดยใช้นิ้วชี้สี่ชั่วโมงหนึ่งครั้งโดยแสดงว่า 'ปัญหาของแอป' เป็นหนึ่งการเปลี่ยนเส้นทาง HTTP ฉันเปิดสถิติก่อนตอนนี้โดยไม่สะท้อนกลับ - คำตอบอยู่ในลำดับชั้นโปรโตคอลตลอดเวลา
คำถามที่พบบ่อย
Wireshark หรือ tcpdump — คุณใช้อันไหนจริงๆ?
ทั้งสองแยกตามตำแหน่ง: tcpdump จับภาพบนเซิร์ฟเวอร์เนื่องจากมีอยู่แล้วและไม่มีค่าใช้จ่าย Wireshark วิเคราะห์บนเวิร์กสเตชันที่ผู้วิเคราะห์ได้รับการเก็บรักษา
มันสามารถอ่านการรับส่งข้อมูลที่เข้ารหัสได้หรือไม่?
เฉพาะคีย์จากที่ไหนสักแห่งที่ถูกต้องเท่านั้น: บันทึกคีย์ TLS จากจุดสิ้นสุดที่กำหนดค่าไว้หรือข้อมูลลับที่แยกออกมาภายใต้กฎการมีส่วนร่วม หากไม่มีคีย์ จะแสดงชุดการเข้ารหัสและขนาด ไม่ใช่เนื้อหา
ไวยากรณ์ตัวกรองการแสดงผลยากหรือไม่
มันมีช่วงการเรียนรู้ แต่เป็นภาษาแบบสอบถามที่ควรค่าแก่การเรียนรู้ การเขียนตัวกรองเป็นเวลาหนึ่งสัปดาห์เทียบกับการเก็บในห้องปฏิบัติการทำให้การกรองแบบวันต่อวันส่วนใหญ่เป็นแบบอัตโนมัติ
ตัวกรองแรกที่มืออาชีพส่วนใหญ่เรียนรู้คืออะไร?
ไม่ใช่ตัวกรองเดียว แต่เป็นนิสัย: กรองไปยังโฮสต์และโปรโตคอลที่คุณสนใจ จากนั้นติดตามสตรีม เพราะคำตอบมักจะอยู่ในการสนทนาเดียว
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
พูดตรง ๆ ว่าทีมส่วนใหญ่มาหาเราหลังลองทำเองมาแล้ว: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี บริการ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux ของเรามีอยู่เพื่อไม่ให้คุณต้องเรียนรู้ เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส แบบเจ็บปวด เราดูแลทั้งการตั้งค่า การเฝ้าดู และเรื่องกะทันหันตอนตีสาม