Açık Kaynak Güvenlik Araçları
tcpdump: Sunucudan Asla Ayrılmayan Paket Aracı
tcpdump, ağ analizinin yakalama kısmıdır ve dokunduğumuz her sunucuda yaşar. Bir olay veya çatışmanın kanıta ihtiyacı olduğunda ve kutu yüzlerce kilometre uzakta olduğunda SSH üzerinden tcpdump, Wireshark'ın daha sonra analiz edeceği dosyayı yazar. Minimal, güvenilir ve en iyi şekilde biraz saçma: tek seferlik kurulum, GUI yok ve iki hafta sonra bellekten yazabileceğiniz BPF filtreleri.
Ana noktalar
- Temel refleks: tcpdump -i any -n -w kanıt.pcap -c 100000 ana bilgisayar 10.0.0.5 ve bağlantı noktası 443 — arayüz, ad çözümlemesi yok, dosyaya yazma, sayımı sınırlama, önemli olana göre filtreleme.
- -n (isimleri hiçbir zaman çözümlemeyin) etkileşimlerde tartışılamaz: Yakalama sırasındaki DNS aramaları gürültüye neden olur ve yakalamanın kendisini sızdırır.
- Hızlı metin okumalarında yük dökümleri için -A veya -X kullanın, ancak gerçek analize ihtiyacınız olduğunda durun ve Wireshark'a bir -w dosyası götürün.
- BPF kas hafızasıdır: ana bilgisayar, ağ, bağlantı noktası, tcp veya udp ve ve veya veya notu ile birleştirilmiş filtreler; bir kere öğrenirsin ve otuz yıl kullanırsın.
- Uzun yakalamalar için halka arabellekleri: tcpdump -w yakalama -C 100 -W 20, 100 MB'lık dosyaları döndürür, böylece siz beklerken disk dolmaz.
- Snaplen ve rotasyon disiplini: -s0, önemli olduğunda tam paketler için, altyapının dolu bir diski temizlemenizi istemesinden önce rotasyon boyutları ayarlanır.
- Filtreleme ifadeleri şunları oluşturur: tcp[13] ve 2, SYN bayrakları anlamına gelir ve bir bayrak filtresini okumak, tcpdump'ın korkutucu olmayı bıraktığı andır.
- Yetkilendirme çerçevesi, yakaladığınız tüm kutularda aynı kalır: bu sizin sisteminizde veya imzalı kapsamda olmalıdır ve yakalama diğer kullanıcıların trafiğini de içermelidir; bu nedenle dosyayı hassas veri olarak değerlendirin.
Saha notu
En uzun yakalamam, yaramazlık yapan bir ağ geçidinde dönen 2 GB'lık bir danstı - ve sadece -C 100 -W 20 zaten ayarlanmış olduğu için sakin kaldım. Kendinize isim vermeniz gereken kanıtları aramak, her gün dolu bir diski açıklamaktan daha iyidir.
Sık sorulan sorular
Neden Wireshark'ı sunucuda çalıştırmıyorsunuz?
Ağırlık ve maliyet: Bir üretim ana bilgisayarındaki GUI ve ayırıcıları israftır ve başsız sunucuların ekranı yoktur; tcpdump aynı işin komut satırı yarısıdır.
Görüntüleme filtreleri mevcut olduğunda BPF öğrenmeye değer mi?
Evet, yakalama için: saklamadığınız şeyleri filtreleyemezsiniz ve sıkı bir BPF, yakalama dosyalarının küçük olmasını ve analizin hızlı olmasını sağlar.
Yakalamalar ne kadar büyük olabilir?
Dikkatsizce sınırsız - -C ve -W bunun için var ve meşgul ağlar, diskleri herhangi birinin temizleme rezervasyonu yaptırdığından daha hızlı dolduruyor.
Tcpdump Windows'ta çalışıyor mu?
Doğal olarak değil; Windows tarafı pktmon (modern) veya Windump yapılarıdır (eski) ve dürüst olmak gerekirse çoğu Windows paket çalışması doğrudan Wireshark ile gerçekleşir.
Kinetikatech açık kaynak güvenlik araçları konusunda nasıl yardımcı oluyor
açık kaynak güvenlik araçları konusunda uzman olmanız gerekmiyor: Test araç kutusu profesyonelleri aslında çalışmaya devam ediyor: tarayıcılar, algılayıcılar, kırıcılar ve web proxy'leri, bunların gerçek etkileşimlerde nasıl kullanıldığını - komutlar, işaretler, çıktılar ve her birinin bir metodolojide nerede bulunduğunu - açıkladı. Penetrasyon Testleri ve Linux Sunucu Güvenliği tam bunun için var: kurulum, sertleştirme, izleme ve gece gündüz açık bir insan desteği.