Инструменти за сигурност с отворен код
Wireshark: Четене на пакети като професионалист
Wireshark взема файл за заснемане и прави мрежата четлива: всеки протокол разчленен, всеки поток може да се проследи, всеки филтър въпрос, който можете да зададете на милиони пакети. При ангажиментите това е анализиращата страна на работата с пакети — улавяне с tcpdump на сървъра, след което отворете файла в Wireshark, където GUI прави действителното четене. Умението не е щракване; това е да знаете кой въпрос да зададете следващия, от реконструкция на поток до TLS декриптиране, когато правилата за ангажиране позволяват извличане на тайни.
Ключови точки
- Научете и двата филтърни езика и ги поддържайте прави: филтрите за улавяне са BPF (хост 10.0.0.5 и порт 443), филтрите за показване се изпълняват след улавяне (http.request.method == 'POST').
- Follow Stream (щракване с десния бутон върху който и да е TCP пакет) е работният кон: той превръща хиляди пакети в един важен разговор.
- Първо статистика, второ пакети: йерархията на протокола и разговорите ви казват незабавно какво всъщност съдържа заснемането.
- Експертната информация е лентата за сортиране - повторни предавания, неправилно формирани рамки и подозрителни флагове, повърхностни грешки, ръчното четене ще отнеме час, за да се открие.
- Дешифрирайте TLS по легитимния начин: когато ангажимент го упълномощи, заредете TLS ключови регистрационни файлове или извлечени тайни и ръкостискането спира да бъде стена от шифрован текст.
- Не прихващайте на производствен сървър с Wireshark: прихващайте там с tcpdump -w, анализирайте офлайн; GUI и гладният за памет стек за дисекция не принадлежат на бизнес хост.
- Наименувайте заснеманията на фаза (nmap-recon.pcapng, auth-test.pcapng) и ги хеширайте; констатация на доклад, която не може да сочи към своя необработен файл, е слух.
- Безразборният режим означава четене на трафик, който не е ваш: в споделени мрежи и Wi-Fi, заснемането на данни на други хора без разрешение е част от личния живот и правна линия, а не етикет.
Бележка от терен
Follow Stream запази веднъж четиричасова среща за насочване с пръст, като показа, че „проблемът с приложението“ е един HTTP цикъл за пренасочване. Отварям първо Статистика сега от рефлекс - отговорът седеше в йерархията на протокола през цялото време.
Често задавани въпроси
Wireshark или tcpdump – кое всъщност използвате?
И двете, разделени по местоположение: tcpdump улавя на сървъра, тъй като вече е там и не струва нищо, Wireshark анализира на работната станция, където дисекторите печелят.
Може ли да чете криптиран трафик?
Само с ключове от легитимно място: регистрационни файлове на TLS ключове от конфигурирана крайна точка или тайни, извлечени съгласно правилата за ангажиране; без ключове показва набори от шифри и размери, а не съдържание.
Труден ли е синтаксисът на филтъра за дисплей?
Има крива на обучение, но е език за заявки, който си струва да се научи; една седмица писане на филтри срещу лабораторни заснемания прави повечето ежедневно филтриране автоматично.
Кой е първият филтър, който научават повечето професионалисти?
Не един филтър, а навик: филтрирайте до хоста и протокола, които ви интересуват, след това следвайте потока, защото отговорът обикновено се намира в един разговор.
Как Kinetikatech помага с инструменти за сигурност с отворен код
Това правим днес: Професионалистите от инструментариума за тестване всъщност поддържат заредени: скенери, снифери, кракери и уеб проксита обясниха начина, по който се използват при реални ангажименти – команди, флагове, изходи и къде седи всеки от тях в методологията. Нашата услуга Тестове за проникване и Сигурност на Linux сървъра покрива всичко — от оценка до внедряване, денонощен мониторинг и спешна реакция до 30 минути.