כלי אבטחה בקוד פתוח
Wireshark: קורא מנות כמו מקצוען
Wireshark לוקח קובץ לכידה והופך את הרשת לקריאה: כל פרוטוקול מנותח, כל זרם ניתן למעקב, כל סינון שאלה שאתה יכול לשאול של מיליוני מנות. בהתקשרויות זה צד הניתוח של עבודת מנות - לכוד עם tcpdump בשרת, ואז פתח את הקובץ ב-Wireshark שבו ה-GUI מבצע את הקריאה בפועל. המיומנות אינה מקליקה; זה לדעת איזו שאלה לשאול אחר כך, משחזור זרמים ועד לפענוח TLS כאשר כללי המעורבות מאפשרים לחלץ סודות.
נקודות עיקריות
- למד את שתי שפות הסינון ושמור אותן ישרות: מסנני לכידה הם BPF (מארח 10.0.0.5 ויציאה 443), מסנני תצוגה פועלים לאחר לכידה (http.request.method == 'POST').
- Follow Stream (לחץ לחיצה ימנית על כל חבילת TCP) הוא סוס העבודה: הוא הופך אלף חבילות לשיחה האחת החשובה.
- סטטיסטיקה ראשית, חבילות שניות: היררכיית פרוטוקול ושיחות אומרות לך מיד מה בעצם מכיל הלכידה.
- מידע מומחים הוא נתיב הטריאג' - שידורים חוזרים, מסגרות פגומות ושגיאות דגלים חשודות שייקח שעה לקריאה ידנית למצוא.
- פענוח TLS בדרך הלגיטימית: כאשר מעורבות מאשרת זאת, טען קבצי יומן מפתח TLS או סודות שחולצו ולחיצת היד מפסיקה להיות קיר של טקסט צופן.
- אל תלכוד בשרת ייצור עם Wireshark: תלכוד שם עם tcpdump -w, ניתוח לא מקוון; ה-GUI וערימת דיסקציה זוללת זיכרון אינם שייכים למארח עסקי.
- לכידת שם לכל שלב (nmap-recon.pcapng, auth-test.pcapng) ו-hash אותם; ממצא דוח שאינו יכול להצביע על הקובץ הגולמי שלו הוא שמועה.
- מצב מופקר פירושו קריאת תעבורה שאינה שלך: ברשתות משותפות וב-Wi-Fi, לכידת נתונים של אנשים אחרים ללא אישור היא קו פרטיות ומשפטי, לא כללי התנהגות.
הערת שטח
Follow Stream שמר פגישת הצבעת אצבע של ארבע שעות פעם אחת על ידי הצגת 'בעיית האפליקציה' הייתה לולאה אחת להפניה מחדש של HTTP. אני פותח את סטטיסטיקה תחילה עכשיו מתוך רפלקס - התשובה ישבה בהיררכיית הפרוטוקול כל הזמן.
שאלות נפוצות
Wireshark או tcpdump - באילו אתה משתמש בפועל?
שניהם, מפוצלים לפי מיקום: tcpdump לוכד בשרת כי הוא כבר שם ולא עולה כלום, Wireshark מנתח בתחנת העבודה שבה המנתחים מרוויחים את המשאבים שלהם.
האם הוא יכול לקרוא תעבורה מוצפנת?
רק עם מפתחות ממקום לגיטימי: יומני מפתח TLS מנקודת קצה מוגדרת או סודות שחולצו תחת כללי מעורבות; ללא מפתחות הוא מציג חבילות צופן וגדלים, לא תוכן.
האם תחביר מסנן התצוגה קשה?
יש לה עקומת למידה אבל זו שפת שאילתה שכדאי ללמוד; שבוע של כתיבת מסננים כנגד לכידות מעבדה הופך את רוב הסינון היומיומי לאוטומטי.
מהו הפילטר הראשון שרוב אנשי המקצוע לומדים?
לא מסנן אחד אלא הרגל: סנן למארח ולפרוטוקול שאכפת לך מהם, ואז עקוב אחר סטרים, כי התשובה נמצאת בדרך כלל בשיחה אחת.
איך Kinetikatech מסייעת לך ב-כלי אבטחה בקוד פתוח
נתקלנו בזה מספיק פעמים: אנשי המקצוע של ארגז הכלים לבדיקה ממשיכים לטעון: סורקים, סניפרים, קרקרים ופרוקסי אינטרנט הסבירו את האופן שבו הם משמשים בהתקשרויות אמיתיות - פקודות, דגלים, פלטים, והיכן כל אחד יושב במתודולוגיה. עם בדיקות חדירה ואבטחת שרתי לינוקס מקבלים את כל המחזור — הערכה, יישום, ניטור 24/7 ותגובה בתוך 30 דקות כשזה נחשב.