Open Source sikkerhedsværktøjer
tcpdump: Pakkeværktøjet, der aldrig forlader serveren
tcpdump er indfangningshalvdelen af netværksanalysen, og den lever på hver server, vi rører ved. Når en hændelse eller et engagement har brug for beviser, og boksen er hundredvis af kilometer væk, skriver tcpdump over SSH filen, som Wireshark vil analysere senere. Det er minimalt, pålideligt og lidt latterligt på den bedste måde: en engangsinstallation, ingen GUI og BPF-filtre, du kan skrive fra hukommelsen efter to uger.
Vigtige pointer
- Kernerefleksen: tcpdump -i any -n -w evidence.pcap -c 100000 vært 10.0.0.5 og port 443 — grænseflade, ingen navneopløsning, skriv til fil, begræns antallet, filtrer efter det, der betyder noget.
- -n (aldrig løs navne) er ikke til forhandling ved engagementer: DNS-opslag under en optagelse tilføjer støj og lækker selve optagelsen.
- Hurtig tekstlæser brug -A eller -X til nyttelastdumps, men når du har brug for faktisk analyse, stop og tag en -w-fil til Wireshark.
- BPF er muskelhukommelsen: vært, net, port, tcp eller udp, og kombinerede filtre med og, eller, ikke; du lærer det én gang og bruger det i tredive år.
- Ringbuffere til lange optagelser: tcpdump -w capture -C 100 -W 20 roterer 100 MB filer, så en disk ikke fyldes, mens du venter.
- Snaplen og rotationsdisciplin: -s0 for hele pakker, når det betyder noget, rotationsstørrelser indstillet før infrastruktur beder dig om at rydde op i en fyldt disk.
- Filtreringsudtryk består af: tcp[13] & 2 betyder SYN-flag, og læsning af et flagfilter er det øjeblik, hvor tcpdump holder op med at være skræmmende.
- Autorisationsframing forbliver den samme på enhver boks, du optager på: det skal være dit system eller i det signerede omfang, og opsamlingen inkluderer andre brugeres trafik, så behandl filen som følsomme data.
Note fra marken
Min længste optagelse var en roterende 2 GB-dans på en fejlagtig gateway - og jeg forblev kun rolig, fordi -C 100 -W 20 allerede var indstillet. At søge efter beviser, du skal navngive dig selv, slår at forklare en fyldt disk hver dag.
Ofte stillede spørgsmål
Hvorfor ikke bare køre Wireshark på serveren?
Vægt og pris: en GUI og dens dissektorer på en produktionsvært er spild, og hovedløse servere har ingen skærm; tcpdump er kommandolinjehalvdelen af det samme job.
Er BPF værd at lære, når der findes displayfiltre?
Ja, til optagelse: du kan ikke filtrere det, du ikke har gemt, og en stram BPF holder opsamlingsfilerne små og analyserer hurtigt.
Hvor store kan optagelser blive?
Ubegrænset uden omhu - det er, hvad -C og -W eksisterer for, og travle netværk fylder diske hurtigere end nogen anden rydde op.
Virker tcpdump på Windows?
Ikke indfødt; Windows-siden er pktmon (moderne) eller winddump builds (legacy), og ærligt talt sker det meste af Windows-pakkearbejdet direkte med Wireshark.
Sådan hjælper Kinetikatech med open source sikkerhedsværktøjer
Det har vi gjort hundredvis af gange: Testværktøjskassens fagfolk bliver faktisk ved med at være indlæst: scannere, sniffere, crackere og webproxyer forklarede, hvordan de bruges på rigtige engagementer - kommandoer, flag, output, og hvor hver enkelt sidder i en metodologi. Med Penetrationstests og Sikkerhed på Linux-servere får du hele løkken: vi vurderer, implementerer, følger op hele døgnet og rykker ud inden for 30 minutter, når det er nødvendigt.