Open-Source-Sicherheitstools
tcpdump: Das Paket-Tool, das den Server nie verlässt
tcpdump ist die Erfassungshälfte der Netzwerkanalyse und lebt auf jedem Server, den wir berühren. Wenn für einen Vorfall oder einen Einsatz Beweise benötigt werden und die Box Hunderte von Kilometern entfernt ist, schreibt tcpdump über SSH die Datei, die Wireshark später analysiert. Es ist minimalistisch, zuverlässig und im besten Sinne ein wenig lächerlich: eine einmalige Installation, keine grafische Benutzeroberfläche und BPF-Filter, die Sie nach zwei Wochen aus dem Speicher eingeben können.
Kernpunkte
- Der Kernreflex: tcpdump -i any -n -w Beweise.pcap -c 100000 Host 10.0.0.5 und Port 443 – Schnittstelle, keine Namensauflösung, in Datei schreiben, Anzahl begrenzen, auf das Wesentliche filtern.
- -n (Namen nie auflösen) ist bei Engagements nicht verhandelbar: DNS-Suchen während einer Erfassung verursachen Rauschen und lassen die Erfassung selbst durchsickern.
- Schnelle Textlesevorgänge verwenden -A oder -X für Nutzdaten-Dumps. Wenn Sie jedoch eine tatsächliche Analyse benötigen, halten Sie an und übertragen Sie eine -w-Datei zu Wireshark.
- BPF ist das Muskelgedächtnis: Host, Netz, Port, TCP oder UDP und kombinierte Filter mit und, oder, nicht; man lernt es einmal und benutzt es dreißig Jahre lang.
- Ringpuffer für lange Aufnahmen: tcpdump -w capture -C 100 -W 20 rotiert 100-MB-Dateien, sodass sich eine Festplatte während des Wartens nicht füllt.
- Snaplen- und Rotationsdisziplin: -s0 für vollständige Pakete, wenn es darauf ankommt, Rotationsgrößen werden festgelegt, bevor die Infrastruktur Sie auffordert, eine gefüllte Festplatte zu bereinigen.
- Filterausdrücke bestehen aus: tcp[13] & 2 bedeuten SYN-Flags, und das Lesen eines Flags-Filters ist der Moment, in dem tcpdump nicht mehr beängstigend ist.
- Der Autorisierungsrahmen bleibt auf allen Boxen, auf denen Sie erfassen, gleich: Es muss sich um Ihr System oder im signierten Bereich handeln, und die Erfassung umfasst den Datenverkehr anderer Benutzer. Behandeln Sie die Datei daher als vertrauliche Daten.
Praxisnotiz
Meine längste Aufnahme war ein rotierender 2-GB-Tanz auf einem sich schlecht benehmenden Gateway – und ich blieb nur ruhig, weil -C 100 -W 20 bereits eingestellt war. Die Suche nach Beweisen, bei denen man sich selbst nennen darf, ist jeden Tag besser als die Erklärung einer gefüllten Diskette.
Häufige Fragen
Warum nicht einfach Wireshark auf dem Server ausführen?
Gewicht und Kosten: Eine GUI und ihre Dissektoren auf einem Produktionshost sind Verschwendung, und Headless-Server haben keine Anzeige; tcpdump ist die Befehlszeilenhälfte desselben Jobs.
Lohnt es sich, BPF zu lernen, wenn Anzeigefilter vorhanden sind?
Ja, für die Erfassung: Sie können nicht filtern, was Sie nicht gespeichert haben, und ein enger BPF hält die Erfassungsdateien klein und die Analyse schnell.
Wie groß können Aufnahmen werden?
Unbegrenzt ohne Sorge – dafür gibt es -C und -W, und ausgelastete Netzwerke füllen Festplatten schneller, als irgendjemand eine Bereinigung bucht.
Funktioniert tcpdump unter Windows?
Nicht nativ; Die Windows-Seite ist pktmon (modern) oder windump builds (alt), und ehrlich gesagt erfolgt die meiste Windows-Paketarbeit direkt mit Wireshark.
Wie Kinetikatech bei open-source-sicherheitstools hilft
Sie müssen kein open-source-sicherheitstools-Experte werden: Die Test-Toolbox-Profis sind tatsächlich auf dem Laufenden: Scanner, Sniffer, Cracker und Web-Proxys erklärten, wie sie bei echten Einsätzen verwendet werden – Befehle, Flags, Ausgaben und wo jeder einzelne in einer Methodik sitzt. Genau dafür gibt es Penetrationstests und Linux-Server-Sicherheit: Einrichtung, Härtung, Überwachung und ein Bereitschaftsingenieur Tag und Nacht.