Strumenti di sicurezza open source
tcpdump: lo strumento per i pacchetti che non lascia mai il server
tcpdump è la metà di cattura dell'analisi di rete e risiede su ogni server che tocchiamo. Quando un incidente o un impegno necessitano di prove e la scatola è a centinaia di chilometri di distanza, tcpdump su SSH scrive il file che Wireshark analizzerà successivamente. È minimo, affidabile e leggermente ridicolo nel migliore dei modi: un'installazione una tantum, nessuna GUI e filtri BPF che puoi digitare dalla memoria dopo due settimane.
Punti chiave
- Il riflesso principale: tcpdump -i any -n -w prove.pcap -c 100000 host 10.0.0.5 e porta 443 - interfaccia, nessuna risoluzione dei nomi, scrittura su file, limite al conteggio, filtra ciò che conta.
- -n (non risolvere mai i nomi) non è negoziabile sugli impegni: le ricerche DNS durante un'acquisizione aggiungono rumore e perdono l'acquisizione stessa.
- Le letture di testo rapide utilizzano -A o -X per i dump del payload, ma una volta che hai bisogno di un'analisi effettiva, fermati e porta un file -w su Wireshark.
- BPF è la memoria muscolare: host, net, port, tcp o udp e filtri combinati con e, o, no; lo impari una volta e lo usi per trent'anni.
- Buffer circolari per acquisizioni lunghe: tcpdump -w capture -C 100 -W 20 ruota file da 100 MB in modo che il disco non si riempia durante l'attesa.
- Snaplen e disciplina di rotazione: -s0 per pacchetti completi quando conta, dimensioni di rotazione impostate prima che l'infrastruttura chieda di ripulire un disco pieno.
- Le espressioni di filtraggio compongono: tcp[13] & 2 significano flag SYN, e la lettura di un filtro flag è il momento in cui tcpdump smette di essere spaventoso.
- Il frame di autorizzazione rimane lo stesso su qualsiasi dispositivo su cui acquisisci: deve essere il tuo sistema o nell'ambito firmato e l'acquisizione include il traffico di altri utenti, quindi tratta il file come dati sensibili.
Nota dal campo
La mia cattura più lunga è stata una danza rotante di 2 GB su un gateway che si comportava male - e sono rimasto calmo solo perché -C 100 -W 20 era già stato impostato. Cercare prove che devi nominare è meglio che spiegare un disco pieno ogni giorno.
Domande frequenti
Perché non eseguire semplicemente Wireshark sul server?
Peso e costo: una GUI e i suoi dissettori su un host di produzione sono sprechi e i server headless non hanno display; tcpdump è la metà della riga di comando dello stesso lavoro.
Vale la pena imparare BPF quando esistono filtri di visualizzazione?
Sì, per l'acquisizione: non puoi filtrare ciò che non hai archiviato e un BPF stretto mantiene i file di acquisizione piccoli e l'analisi veloce.
Quanto possono essere grandi le acquisizioni?
Illimitato senza preoccupazioni: questo è lo scopo per cui esistono -C e -W, e le reti occupate riempiono i dischi più velocemente di quanto chiunque possa prenotare la pulizia.
tcpdump funziona su Windows?
Non in modo nativo; il lato Windows è pktmon (moderno) o build windump (legacy) e onestamente la maggior parte del lavoro sui pacchetti Windows avviene direttamente con Wireshark.
Come Kinetikatech aiuta con strumenti di sicurezza open source
Lo abbiamo già risolto centinaia di volte: I professionisti degli strumenti di test continuano a caricarli: scanner, sniffer, cracker e proxy web hanno spiegato il modo in cui vengono utilizzati negli impegni reali: comandi, flag, output e dove ciascuno di essi si trova in una metodologia. Con Penetration test e Sicurezza server Linux, ottiene il ciclo completo: valutiamo, implementiamo, vigiliamo 24 ore su 24 e rispondiamo in 30 minuti quando conta.