Nástroje zabezpečení s otevřeným zdrojovým kódem
tcpdump: Paketový nástroj, který nikdy neopustí server
tcpdump je zachycená polovina analýzy sítě a žije na každém serveru, kterého se dotkneme. Když incident nebo střetnutí potřebuje důkazy a krabice je stovky kilometrů daleko, tcpdump přes SSH zapíše soubor, který bude Wireshark analyzovat později. Je minimální, spolehlivý a trochu směšný tím nejlepším způsobem: jednorázová instalace, žádné grafické uživatelské rozhraní a filtry BPF, které můžete psát z paměti po dvou týdnech.
Klíčové body
- Základní reflex: tcpdump -i any -n -w evidence.pcap -c 100000 hostitel 10.0.0.5 a port 443 — rozhraní, žádné rozlišení názvů, zápis do souboru, omezení počtu, filtrování podle toho, na čem záleží.
- -n (nikdy nerozeznávat názvy) není možné vyjednávat o zapojeních: vyhledávání DNS během zachycování přidává šum a prosakuje samotné zachycování.
- Rychlé čtení textu používá -A nebo -X pro výpisy dat, ale jakmile budete potřebovat skutečnou analýzu, zastavte se a vezměte -w soubor do Wireshark.
- BPF je svalová paměť: hostitel, síť, port, tcp nebo udp a kombinované filtry s a, nebo, ne; jednou se to naučíš a budeš to používat třicet let.
- Kruhové vyrovnávací paměti pro dlouhé zachycování: tcpdump -w capture -C 100 -W 20 otočí 100 MB soubory, takže se disk během čekání nezaplní.
- Snaplen a disciplína rotace: -s0 pro plné pakety, když na tom záleží, velikosti rotace nastavené před tím, než vás infrastruktura požádá o vyčištění zaplněného disku.
- Filtrační výrazy se skládají: tcp[13] & 2 střední příznaky SYN a čtení filtru příznaků je okamžikem, kdy tcpdump přestává být děsivý.
- Rámování autorizace zůstává stejné na každém poli, do kterého zachytíte: musí to být váš systém nebo v podepsaném rozsahu a zachycení zahrnuje provoz ostatních uživatelů, takže se souborem zacházejte jako s citlivými údaji.
Poznámka z terénu
Mým nejdelším zachycením byl rotující 2GB tanec na špatně se chovající bráně – a zůstal jsem v klidu, protože -C 100 -W 20 již bylo nastaveno. Hledání důkazů, které si musíte pojmenovat, je každý den lepší než vysvětlit zaplněný disk.
Časté dotazy
Proč rovnou nespustit Wireshark na serveru?
Hmotnost a cena: GUI a jeho disektory na produkčním hostiteli jsou plýtvání a bezhlavé servery nemají žádný displej; tcpdump je polovina stejné úlohy příkazového řádku.
Vyplatí se BPF učit, když existují filtry zobrazení?
Ano, pro zachycení: nemůžete filtrovat to, co jste neuložili, a těsné BPF udržuje zachycené soubory malé a analýzu rychlou.
Jak velké mohou být záběry?
Neomezený bez péče – pro to existují -C a -W a vytížené sítě zaplňují disky rychleji, než kdokoli zapisuje úklid.
Funguje tcpdump ve Windows?
Ne nativně; strana Windows je sestavení pktmon (moderní) nebo windump (starší verze) a upřímně řečeno, většina práce s pakety Windows probíhá přímo s Wireshark.
Jak Kinetikatech pomáhá s nástroje zabezpečení s otevřeným zdrojovým kódem
Upřímně, většina týmů se na nás obrací poté, co to nejdřív zkusila sama: Profesionálové z testovací sady nástrojů mají skutečně nabité: skenery, sniffery, crackery a webové proxy vysvětlily způsob, jakým se používají při skutečných zakázkách – příkazy, příznaky, výstupy a kde každý sedí v metodice. Naše služba Penetrační testy a Zabezpečení linuxových serverů je tu proto, abyste nástroje zabezpečení s otevřeným zdrojovým kódem nepoznávali na vlastní kůži; my se postaráme o zprovoznění, dohled a překvapení ve tři ráno.