Strumenti di sicurezza open source
Wireshark: leggere i pacchetti come un professionista
Wireshark prende un file di acquisizione e rende leggibile la rete: ogni protocollo sezionato, ogni flusso seguibile, ogni filtro una domanda che puoi porre a milioni di pacchetti. Negli impegni è il lato di analisi del lavoro sui pacchetti: acquisisci con tcpdump sul server, quindi apri il file in Wireshark dove la GUI esegue la lettura effettiva. L'abilità non è fare clic; significa sapere quale domanda porre dopo, dalla ricostruzione del flusso alla decrittazione TLS quando le regole di ingaggio consentono l’estrazione dei segreti.
Punti chiave
- Impara entrambi i linguaggi dei filtri e mantienili chiari: i filtri di acquisizione sono BPF (host 10.0.0.5 e porta 443), i filtri di visualizzazione vengono eseguiti dopo l'acquisizione (http.request.method == 'POST').
- Follow Stream (fare clic con il pulsante destro del mouse su qualsiasi pacchetto TCP) è il cavallo di battaglia: trasforma migliaia di pacchetti nell'unica conversazione che contava.
- Prima le statistiche, poi i pacchetti: la gerarchia dei protocolli e le conversazioni ti dicono immediatamente cosa contiene effettivamente la cattura.
- Le informazioni degli esperti sono la corsia di triage: ritrasmissioni, frame non validi e flag sospetti emergono errori che una lettura manuale richiederebbe un'ora per trovare.
- Decrittografa TLS in modo legittimo: quando un impegno lo autorizza, carica i file di registro delle chiavi TLS o i segreti estratti e l'handshake smetterà di essere un muro di testo cifrato.
- Non acquisire su un server di produzione con Wireshark: acquisire lì con tcpdump -w, analizzare offline; la GUI e uno stack di dissezione affamato di memoria non appartengono a un host aziendale.
- Assegna un nome alle acquisizioni per fase (nmap-recon.pcapng, auth-test.pcapng) e sottoponile ad hash; un rapporto che rileva che non può indicare il suo file grezzo è una voce.
- La modalità promiscua significa leggere il traffico che non è tuo: su reti condivise e Wi-Fi, acquisire dati di altre persone senza autorizzazione è una linea legale e di privacy, non di etichetta.
Nota dal campo
Follow Stream ha salvato una volta una riunione di quattro ore mostrando che il "problema dell'app" era un loop di reindirizzamento HTTP. Apro prima Statistiche ora di riflesso: la risposta è rimasta sempre nella Gerarchia dei protocolli.
Domande frequenti
Wireshark o tcpdump: quale usi effettivamente?
Entrambi, divisi per posizione: tcpdump cattura sul server perché è già lì e non costa nulla, Wireshark analizza sulla stazione di lavoro dove i dissettori si guadagnano da vivere.
Può leggere il traffico crittografato?
Solo con chiavi provenienti da luoghi legittimi: registri di chiavi TLS da un endpoint configurato o segreti estratti in base alle regole di coinvolgimento; senza chiavi mostra le suite e le dimensioni di crittografia, non i contenuti.
La sintassi del filtro di visualizzazione è complessa?
Ha una curva di apprendimento ma è un linguaggio di query che vale la pena imparare; una settimana di scrittura di filtri rispetto alle acquisizioni di laboratorio rende automatica la maggior parte dei filtri quotidiani.
Qual è il primo filtro che impara la maggior parte dei professionisti?
Non un filtro ma un'abitudine: filtra in base all'host e al protocollo che ti interessa, quindi Segui flusso, perché la risposta di solito risiede in una conversazione.
Come Kinetikatech aiuta con strumenti di sicurezza open source
Questo è ciò che facciamo ogni giorno: I professionisti degli strumenti di test continuano a caricarli: scanner, sniffer, cracker e proxy web hanno spiegato il modo in cui vengono utilizzati negli impegni reali: comandi, flag, output e dove ciascuno di essi si trova in una metodologia. Il nostro servizio Penetration test e Sicurezza server Linux lo copre dall'inizio alla fine: valutazione, implementazione, monitoraggio 24/7 e risposta di emergenza in 30 minuti.