Alat Keamanan Sumber Terbuka
tcpdump: Alat Paket yang Tidak Pernah Meninggalkan Server
tcpdump adalah separuh analisis jaringan, dan ada di setiap server yang kami sentuh. Ketika sebuah insiden atau pertunangan memerlukan bukti dan kotaknya berjarak ratusan kilometer jauhnya, tcpdump melalui SSH menulis file yang akan dianalisis Wireshark nanti. Ini minimal, dapat diandalkan, dan sedikit konyol dalam hal terbaik: instalasi satu kali, tanpa GUI, dan filter BPF yang dapat Anda ketik dari memori setelah dua minggu.
Poin Utama
- Refleks inti: tcpdump -i any -n -w proof.pcap -c 100000 host 10.0.0.5 dan port 443 — antarmuka, tanpa resolusi nama, tulis ke file, batasi jumlah, filter sesuai hal yang penting.
- -n (jangan pernah menyelesaikan nama) tidak dapat dinegosiasikan dalam keterlibatan: Pencarian DNS selama pengambilan akan menambah gangguan dan membocorkan pengambilan itu sendiri.
- Pembacaan teks cepat menggunakan -A atau -X untuk pembuangan muatan, tetapi begitu Anda memerlukan analisis sebenarnya, hentikan dan bawa file -w ke Wireshark.
- BPF adalah memori otot: host, net, port, tcp atau udp, dan filter gabungan dengan dan, atau, tidak; Anda mempelajarinya sekali dan menggunakannya selama tiga puluh tahun.
- Deringkan buffer untuk pengambilan yang lama: tcpdump -w capture -C 100 -W 20 memutar file 100 MB sehingga disk tidak terisi saat Anda menunggu.
- Snaplen dan disiplin rotasi: -s0 untuk paket penuh jika diperlukan, ukuran rotasi ditetapkan sebelum infrastruktur meminta Anda membersihkan disk yang terisi.
- Penyaringan ekspresi terdiri: tcp[13] & 2 berarti flag SYN, dan membaca filter flag adalah saat tcpdump berhenti menjadi menakutkan.
- Pembingkaian otorisasi tetap sama di kotak mana pun yang Anda ambil: itu harus sistem Anda atau dalam cakupan yang ditandatangani, dan tangkapannya mencakup lalu lintas pengguna lain, jadi perlakukan file tersebut sebagai data sensitif.
Catatan Lapangan
Pengambilan gambar terlama saya adalah tarian berputar 2 GB pada gateway yang bermasalah — dan saya hanya tetap tenang karena -C 100 -W 20 sudah disetel. Mencari bukti yang Anda miliki untuk menyebutkan nama Anda tidaklah sulit untuk menjelaskan disk yang terisi setiap hari.
Pertanyaan Umum
Mengapa tidak menjalankan Wireshark saja di server?
Berat dan biaya: GUI dan pembaginya pada host produksi adalah pemborosan, dan server tanpa kepala tidak memiliki tampilan; tcpdump adalah setengah baris perintah dari pekerjaan yang sama.
Apakah BPF layak dipelajari ketika filter tampilan ada?
Ya, untuk pengambilan: Anda tidak dapat memfilter apa yang tidak Anda simpan, dan BPF yang ketat membuat file pengambilan tetap kecil dan analisis cepat.
Seberapa besar hasil tangkapannya?
Tidak terikat tanpa peduli — untuk itulah -C dan -W ada, dan jaringan yang sibuk mengisi disk lebih cepat daripada pembersihan buku siapa pun.
Apakah tcpdump berfungsi di Windows?
Bukan secara asli; sisi Windows adalah pktmon (modern) atau build windump (lama), dan sejujurnya sebagian besar pekerjaan paket Windows terjadi dengan Wireshark secara langsung.
Bagaimana Kinetikatech membantu dengan alat keamanan sumber terbuka
Usahanya sederhana: Toolbox pengujian yang profesional tetap terisi: pemindai, sniffer, cracker, dan proxy web menjelaskan cara mereka digunakan dalam keterlibatan nyata — perintah, tanda, keluaran, dan posisi masing-masing dalam suatu metodologi. Serahkan pada layanan kami Penetration Test dan Keamanan Server Linux dan Anda terlindungi: dievaluasi menyeluruh, diimplementasikan rapi, dipantau 24 jam.