Інструменти безпеки з відкритим кодом
tcpdump: Пакетний інструмент, який ніколи не залишає сервер
tcpdump — це половина аналізу мережі, яка міститься на кожному сервері, до якого ми торкаємось. Коли інцидент або зіткнення потребує доказів, а ящик знаходиться за сотні кілометрів, tcpdump через SSH записує файл, який Wireshark проаналізує пізніше. Він мінімальний, надійний і трохи смішний у найкращому вигляді: одноразова інсталяція, відсутність графічного інтерфейсу користувача та фільтри BPF, які ви можете вводити з пам’яті через два тижні.
Головне
- Основний рефлекс: tcpdump -i будь-який -n -w evidence.pcap -c 100000 хост 10.0.0.5 і порт 443 — інтерфейс, без розпізнавання імен, запис у файл, обмеження підрахунку, фільтр до того, що має значення.
- -n (ніколи не розпізнавати імена) не підлягає обговоренню під час залучення: DNS-пошуки під час захоплення додають шум і витік самого захоплення.
- Швидке читання тексту використовує -A або -X для дампів корисного навантаження, але коли вам знадобиться фактичний аналіз, зупиніться та передайте файл -w до Wireshark.
- BPF — це м’язова пам’ять: хост, мережа, порт, tcp або udp і комбіновані фільтри з і, або, ні; ви вивчаєте це один раз і використовуєте його тридцять років.
- Кільцеві буфери для довгих захоплень: tcpdump -w capture -C 100 -W 20 повертає файли розміром 100 МБ, щоб диск не заповнювався, поки ви чекаєте.
- Snaplen і дисципліна ротації: -s0 для повних пакетів, коли це важливо, розміри ротації встановлюються до того, як інфраструктура попросить вас очистити заповнений диск.
- Вирази фільтрації складають: tcp[13] & 2 означають прапори SYN, і читання фільтра прапорів є моментом, коли tcpdump перестає бути страшним.
- Фрейм авторизації залишається незмінним для будь-якого блоку, на якому ви знімаєте: це має бути ваша система або в підписаній області, і захоплення включає трафік інших користувачів, тому розглядайте файл як конфіденційні дані.
Польова нотатка
Моїм найдовшим захопленням був обертовий танець 2 ГБ на несправному шлюзі — і я залишався спокійним лише тому, що -C 100 -W 20 уже було встановлено. Пошук доказів, які ви повинні назвати, перевершує пояснення заповненого диска будь-коли.
Часті запитання
Чому б просто не запустити Wireshark на сервері?
Вага та вартість: графічний інтерфейс користувача та його дисектори на робочому хості є марнотратством, а безголові сервери не мають дисплея; tcpdump — це половина того самого завдання командного рядка.
Чи варто вивчати BPF, коли існують фільтри відображення?
Так, для захоплення: ви не можете відфільтрувати те, що ви не зберегли, а жорсткий BPF зберігає файли захоплення невеликими та швидким аналізом.
Наскільки великими можуть бути захоплення?
Необмежений без догляду — ось для чого існують -C і -W, а зайняті мережі заповнюють диски швидше, ніж будь-хто збирається очищати.
Чи працює tcpdump у Windows?
Не рідний; сторона Windows — це збірки pktmon (сучасні) або windump (застарілі), і, чесно кажучи, більшість пакетної роботи Windows відбувається безпосередньо з Wireshark.
Допомога Kinetikatech: інструменти безпеки з відкритим кодом
Це те, чим ми займаємося щодня: Професіонали з інструментів тестування фактично постійно завантажені: сканери, сніфери, зломщики та веб-проксі пояснили, як вони використовуються в реальних залученнях — команди, позначки, виходи та місце кожного з них у методології. Наша служба Тести на проникнення та Безпека серверів Linux бере все на себе — оцінювання, впровадження, цілодобовий контроль і екстрене реагування протягом 30 хвилин.