Nástroje zabezpečení s otevřeným zdrojovým kódem
Wireshark: Čtení paketů jako profesionál
Wireshark vezme zachycovací soubor a udělá síť čitelnou: každý rozebraný protokol, každý stream sledovatelný, každý filtr – otázka, kterou můžete položit milionům paketů. U zapojení je to analytická stránka práce s pakety – zachycení pomocí tcpdump na serveru a poté otevření souboru ve Wiresharku, kde GUI provádí skutečné čtení. Dovednost není klikání; je to vědět, kterou otázku položit jako další, od rekonstrukce streamu po dešifrování TLS, když pravidla zapojení umožňují extrahování tajemství.
Klíčové body
- Naučte se oba jazyky filtrů a udržujte je přímo: filtry pro zachycení jsou BPF (hostitel 10.0.0.5 a port 443), filtry zobrazení se spouštějí po zachycení (http.request.method == 'POST').
- Follow Stream (klikněte pravým tlačítkem na jakýkoli TCP paket) je tahoun: změní tisíc paketů na jedinou konverzaci, na které záleželo.
- Na prvním místě statistika, na druhém pakety: Hierarchie protokolů a konverzace vám okamžitě řeknou, co vlastně zachycení obsahuje.
- Odborné informace jsou třídicí pruh – opakované přenosy, deformované snímky a podezřelé příznaky na povrchu chyb, jejichž nalezení v manuálním čtení by trvalo hodinu.
- Dešifrujte TLS legitimním způsobem: když to zapojení autorizuje, načtěte soubory protokolu klíčů TLS nebo extrahovaná tajemství a handshake přestane být stěnou šifrovaného textu.
- Nezachycujte na produkčním serveru pomocí Wireshark: zachycujte tam pomocí tcpdump -w, analyzujte offline; grafické uživatelské rozhraní a pitevní zásobník náročný na paměť nepatří do obchodního hostitele.
- Pojmenujte zachycené položky pro fázi (nmap-recon.pcapng, auth-test.pcapng) a zahashujte je; nález zprávy, který nemůže ukazovat na svůj nezpracovaný soubor, je fáma.
- Promiskuitní režim znamená čtení provozu, který není váš: ve sdílených sítích a Wi-Fi je zachycování cizích dat bez oprávnění ochranou soukromí a právním řádem, nikoli etiketou.
Poznámka z terénu
Follow Stream jednou zachránil čtyřhodinovou schůzku s ukazováním prstů tím, že ukázal, že „problémem s aplikací“ byla jedna smyčka přesměrování HTTP. Statistiku jsem nyní otevřel nejprve z reflexe – odpověď celou dobu seděla v hierarchii protokolu.
Časté dotazy
Wireshark nebo tcpdump — které vlastně používáte?
Oba, rozdělené podle umístění: tcpdump zachycuje na serveru, protože už tam je a nic nestojí, analyzuje Wireshark na pracovní stanici, kde si disektory vydělávají.
Dokáže číst šifrovaný provoz?
Pouze s klíči odněkud legitimní: protokoly klíčů TLS z nakonfigurovaného koncového bodu nebo tajemství extrahovaná podle pravidel zapojení; bez klíčů zobrazuje šifrovací sady a velikosti, nikoli obsah.
Je syntaxe filtru zobrazení náročná?
Má křivku učení, ale je to dotazovací jazyk, který stojí za to se naučit; týden zápisu filtrů proti laboratorním záznamům dělá většinu každodenního filtrování automatickým.
Jaký je první filtr, který se většina profesionálů učí?
Ne jeden filtr, ale zvyk: filtrujte podle hostitele a protokolu, na kterém vám záleží, a poté sledujte stream, protože odpověď obvykle žije v jedné konverzaci.
Jak Kinetikatech pomáhá s nástroje zabezpečení s otevřeným zdrojovým kódem
Řešili jsme to už stokrát: Profesionálové z testovací sady nástrojů mají skutečně nabité: skenery, sniffery, crackery a webové proxy vysvětlily způsob, jakým se používají při skutečných zakázkách – příkazy, příznaky, výstupy a kde každý sedí v metodice. Se službou Penetrační testy a Zabezpečení linuxových serverů získáte celý cyklus: posoudíme, nasadíme, nepřetržitě sledujeme a v případě potřeby zasáhneme do 30 minut.