Herramientas de seguridad de código abierto
tcpdump: la herramienta de paquetes que nunca sale del servidor
tcpdump es la mitad de captura del análisis de red y reside en cada servidor que tocamos. Cuando un incidente o compromiso necesita evidencia y la caja está a cientos de kilómetros de distancia, tcpdump sobre SSH escribe el archivo que Wireshark analizará más adelante. Es mínimo, confiable y un poco ridículo en el mejor de los sentidos: una instalación única, sin GUI y filtros BPF que puedes escribir desde la memoria después de dos semanas.
Puntos clave
- El reflejo central: tcpdump -i any -n -w evidencia.pcap -c 100000 host 10.0.0.5 y puerto 443: interfaz, sin resolución de nombres, escribir en un archivo, limitar el recuento, filtrar lo que importa.
- -n (nunca resolver nombres) no es negociable en las interacciones: las búsquedas de DNS durante una captura agregan ruido y filtran la captura misma.
- Las lecturas rápidas de texto usan -A o -X para volcados de carga útil, pero una vez que necesite un análisis real, deténgase y lleve un archivo -w a Wireshark.
- BPF es la memoria muscular: host, net, port, tcp o udp, y filtros combinados con and, or, not; lo aprendes una vez y lo usas durante treinta años.
- Búfer de anillo para capturas largas: tcpdump -w capture -C 100 -W 20 rota archivos de 100 MB para que el disco no se llene mientras espera.
- Snaplen y disciplina de rotación: -s0 para paquetes completos cuando sea necesario, los tamaños de rotación se establecen antes de que la infraestructura le solicite que limpie un disco lleno.
- Las expresiones de filtrado componen: tcp[13] y 2 significan indicadores SYN, y leer un filtro de indicadores es el momento en que tcpdump deja de dar miedo.
- El marco de autorización permanece igual en cualquier cuadro que capture: debe ser su sistema o en el alcance firmado, y la captura incluye el tráfico de otros usuarios, así que trate el archivo como datos confidenciales.
Nota de campo
Mi captura más larga fue un baile giratorio de 2 GB en una puerta de enlace que se comportaba mal, y solo mantuve la calma porque -C 100 -W 20 ya se había configurado. Buscar pruebas de que tienes que nombrarte es mejor que explicar un disco lleno en cualquier momento.
Preguntas frecuentes
¿Por qué no simplemente ejecutar Wireshark en el servidor?
Peso y costo: una GUI y sus disectores en un host de producción son un desperdicio, y los servidores sin cabeza no tienen pantalla; tcpdump es la mitad de la línea de comando del mismo trabajo.
¿Vale la pena aprender BPF cuando existen filtros de visualización?
Sí, para captura: no puedes filtrar lo que no almacenaste, y un BPF ajustado mantiene los archivos de captura pequeños y el análisis rápido.
¿Qué tamaño pueden alcanzar las capturas?
Ilimitado y sin preocupaciones: para eso existen -C y -W, y las redes ocupadas llenan los discos más rápido de lo que nadie reserva la limpieza.
¿tcpdump funciona en Windows?
No de forma nativa; el lado de Windows es pktmon (moderno) o compilaciones windump (heredadas) y, sinceramente, la mayor parte del trabajo de paquetes de Windows se realiza directamente con Wireshark.
Cómo ayuda Kinetikatech con herramientas de seguridad de código abierto
Esto lo hemos resuelto cientos de veces: Los profesionales de la caja de herramientas de prueba en realidad se mantienen cargados: escáneres, rastreadores, crackers y servidores proxy web explicaron la forma en que se utilizan en interacciones reales: comandos, indicadores, resultados y dónde se ubica cada uno en una metodología. Con Pruebas de penetración y Seguridad de servidores Linux, obtiene el ciclo completo: evaluamos, implementamos, vigilamos las 24 horas y respondemos en 30 minutos cuando importa.