Nyílt forráskódú biztonsági eszközök
Wireshark: Profiként olvas csomagokat
A Wireshark rögzíti a rögzítési fájlt, és olvashatóvá teszi a hálózatot: minden protokoll szét van bontva, minden adatfolyam követhető, minden szűrő egy kérdés, amelyet több millió csomagra vonatkozóan tehet fel. Az elköteleződéseknél ez a csomagmunka elemzési oldala – rögzítse a tcpdump segítségével a szerveren, majd nyissa meg a fájlt a Wiresharkban, ahol a grafikus felhasználói felület elvégzi a tényleges beolvasást. A készség nem kattogás; tudni kell, melyik kérdést kell feltenni legközelebb, az adatfolyam-rekonstrukciótól a TLS visszafejtéséig, amikor az elkötelezettségi szabályok lehetővé teszik a titkok kinyerését.
Kulcspontok
- Tanulja meg mindkét szűrőnyelvet, és tartsa őket egyenesen: a rögzítési szűrők BPF-ek (10.0.0.5-ös gazdagép és 443-as port), a megjelenítési szűrők a rögzítés után futnak (http.request.method == 'POST').
- A Follow Stream (jobb gombbal kattintson bármelyik TCP-csomagra) a munkaló: ezer csomagot alakít az egyetlen fontos beszélgetéssé.
- Először a statisztikák, a második a csomagok: a protokollhierarchia és a beszélgetések azonnal megmondják, mit is tartalmaz a rögzítés.
- A Szakértői információ az osztályozási sáv – az újraadások, a hibás képkockák és a gyanús zászlók felszínre hozzák azokat a hibákat, amelyek kézi olvasása során egy órát vesz igénybe.
- A TLS visszafejtése a legális módon: amikor egy megbízás engedélyezi, töltse be a TLS-kulcsnaplófájlokat vagy a kibontott titkokat, és a kézfogás megszűnik a titkosított szöveg falának lenni.
- Ne rögzítse éles kiszolgálón a Wireshark segítségével: rögzítse ott a tcpdump -w segítségével, elemezze offline állapotban; a grafikus felület és a memóriaéhes boncolási verem nem tartozik egy üzleti gazdagéphez.
- Nevezze meg a rögzítéseket fázisonként (nmap-recon.pcapng, auth-test.pcapng), és kivonatolja őket; a jelentés megállapítása, amely nem mutat rá a nyers fájlra, pletyka.
- A promiszkuális mód azt jelenti, hogy olyan forgalom olvassa le, amely nem az Öné: a megosztott hálózatokon és Wi-Fi-n mások adatainak engedély nélküli rögzítése magánéleti és jogi, nem pedig etikett.
Terepi jegyzet
A Follow Stream egyszer megmentett egy négyórás ujjal mutogatós értekezletet azzal, hogy kimutatta, hogy az „alkalmazásprobléma” egy HTTP-átirányítási hurok volt. Most először reflexből nyitom meg a Statisztikát – a válasz végig a Protokoll-hierarchiában volt.
Gyakori kérdések
Wireshark vagy tcpdump – melyiket használod valójában?
Mindkettő hely szerint felosztva: a tcpdump rögzíti a szerveren, mert az már ott van, és nem kerül semmibe, a Wireshark a munkaállomáson elemzi, ahol a dissektorok keresik a tartást.
Tud olvasni a titkosított forgalmat?
Csak a legális helyről származó kulcsokkal: TLS-kulcsnaplók egy konfigurált végpontból vagy az elköteleződési szabályok alapján kinyert titkok; kulcsok nélkül a rejtjelkészleteket és a méreteket mutatja, nem a tartalmat.
Nehéz a kijelzőszűrő szintaxisa?
Tanulási görbéje van, de érdemes megtanulni a lekérdező nyelvet; egy hétig szűrőket írunk a laborfelvételek ellen, és a legtöbb napi szűrést automatikussá teszi.
Mi az első szűrő, amelyet a legtöbb szakember megtanul?
Nem egy szűrő, hanem egy szokás: szűrjön az Önt érdeklő gazdagépre és protokollra, majd kövesse az adatfolyamot, mert a válasz általában egy beszélgetésben él.
Hogyan segít a Kinetikatech a nyílt forráskódú biztonsági eszközök területén
Nap mint nap ezt tesszük: A tesztelő eszköztár szakemberei valójában folyamatosan töltődnek: szkennerek, szippantó készülékek, crackerek és webes proxy-k elmagyarázták, hogyan használják őket valódi műveleteknél – parancsok, jelzők, kimenetek, és hogy mindegyikük hol helyezkedik el a módszertanban. A Behatolási tesztek és Linux-szerverbiztonság szolgáltatásunk mindent lefed az értékeléstől a bevezetésen és a 24/7 felügyeleten át a 30 perces sürgősségi beavatkozásig.