tcpdump: पैकेट टूल जो सर्वर को कभी नहीं छोड़ता

मुख्य बिंदु

• कोर रिफ्लेक्स: tcpdump -i कोई -n -w साक्ष्य.pcap -c 100000 होस्ट 10.0.0.5 और पोर्ट 443 - इंटरफ़ेस, कोई नाम रिज़ॉल्यूशन नहीं, फ़ाइल में लिखें, गिनती कैप करें, जो मायने रखता है उसके लिए फ़िल्टर करें।
• -एन (कभी भी नामों का समाधान न करें) संलग्नताओं पर गैर-परक्राम्य है: कैप्चर के दौरान डीएनएस लुकअप शोर जोड़ता है और कैप्चर को लीक कर देता है।
• त्वरित पाठ में पेलोड डंप के लिए -A या -X का उपयोग किया जाता है, लेकिन एक बार जब आपको वास्तविक विश्लेषण की आवश्यकता हो, तो रुकें और -w फ़ाइल को वायरशार्क पर ले जाएं।
• बीपीएफ मांसपेशी मेमोरी है: होस्ट, नेट, पोर्ट, टीसीपी या यूडीपी, और और, या, नहीं के साथ संयुक्त फिल्टर; आप इसे एक बार सीखें और तीस वर्षों तक इसका उपयोग करें।
• लंबे कैप्चर के लिए रिंग बफ़र्स: tcpdump -w कैप्चर -C 100 -W 20 100 एमबी फ़ाइलों को घुमाता है ताकि आपके इंतजार करने पर डिस्क न भरे।
• स्नैपलेन और रोटेशन अनुशासन: -s0 पूर्ण पैकेट के लिए जब यह मायने रखता है, तो बुनियादी ढांचे से पहले रोटेशन आकार निर्धारित किया जाता है जो आपको भरी हुई डिस्क को साफ करने के लिए कहता है।
• फ़िल्टरिंग अभिव्यक्तियाँ बनाती हैं: tcp[13] और 2 का अर्थ SYN फ़्लैग है, और फ़्लैग फ़िल्टर पढ़ना वह क्षण है जब tcpdump डरावना होना बंद कर देता है।
• आपके द्वारा कैप्चर किए गए किसी भी बॉक्स पर प्राधिकरण फ़्रेमिंग समान रहती है: यह आपका सिस्टम या हस्ताक्षरित दायरे में होना चाहिए, और कैप्चर में अन्य उपयोगकर्ताओं का ट्रैफ़िक शामिल होता है, इसलिए फ़ाइल को संवेदनशील डेटा के रूप में मानें।

क्षेत्रीय टिप्पणी

मेरा सबसे लंबा कैप्चर एक दुर्व्यवहार करने वाले गेटवे पर घूमने वाला 2 जीबी डांस था - और मैं केवल इसलिए शांत रहा क्योंकि -सी 100 -डब्ल्यू 20 पहले ही सेट हो चुका था। किसी भी दिन एक भरी हुई डिस्क की व्याख्या करने के लिए आपको अपना नाम बताने के लिए मिले सबूतों की खोज करना।

अक्सर पूछे जाने वाले प्रश्न