オープンソースのセキュリティ ツール
Wireshark: プロのようにパケットを読み取る
Wireshark はキャプチャ ファイルを取得し、ネットワークを読みやすくします。すべてのプロトコルが分析され、すべてのストリームが追跡可能になり、すべてのフィルターで数百万のパケットについて尋ねることができます。エンゲージメントでは、パケット作業の分析側になります。サーバー上の tcpdump を使用してキャプチャし、Wireshark でファイルを開き、GUI が実際の読み取りを行います。スキルはクリックされません。エンゲージメント ルールでシークレットの抽出が許可されている場合、ストリームの再構築から TLS 復号化まで、次にどの質問をすればよいかを知ることができます。
要点
- 両方のフィルター言語を学び、それらを明確に保ちます。キャプチャ フィルターは BPF (ホスト 10.0.0.5 およびポート 443)、表示フィルターはキャプチャ後に実行されます (http.request.method == 'POST')。
- Follow Stream (任意の TCP パケットを右クリック) は主力機能であり、1,000 個のパケットを重要な 1 つの会話に変換します。
- 統計が最初、パケットが 2 番目です。プロトコル階層と会話により、キャプチャに実際に何が含まれているかがすぐにわかります。
- 専門家情報はトリアージレーンです。再送信、不正なフレーム、疑わしいフラグの表面エラーは、手作業で読むと発見するのに 1 時間かかります。
- 正規の方法で TLS を復号化します。エンゲージメントで承認されたら、TLS キー ログ ファイルまたは抽出されたシークレットをロードすると、ハンドシェイクが暗号文の壁にならずに済みます。
- Wireshark を使用して運用サーバー上でキャプチャしないでください。そこで tcpdump -w を使用してキャプチャし、オフラインで分析します。 GUI とメモリを大量に消費する分析スタックはビジネス ホストには属しません。
- フェーズごとのキャプチャ (nmap-recon.pcapng、auth-test.pcapng) に名前を付けてハッシュします。生のファイルを指摘できないレポートの発見は噂です。
- プロミスキャス モードとは、自分のものではないトラフィックを読み取ることを意味します。共有ネットワークや Wi-Fi 上で、許可なく他人のデータを取得することは、エチケットではなく、プライバシーと法的境界線です。
現場ノート
Follow Stream は、「アプリの問題」が 1 つの HTTP リダイレクト ループであることを示すことで、4 時間の指差し会議を回避しました。私は今、反射的に統計を最初に開きます。答えはずっとプロトコル階層にありました。
よくある質問
Wireshark と tcpdump — 実際にはどちらを使用しますか?
両方とも場所によって分割されます。tcpdump はサーバー上でキャプチャします。サーバーはすでに存在しており、費用はかかりません。Wireshark は、分析者が稼いでいるワークステーション上で分析します。
暗号化されたトラフィックを読み取ることができますか?
正当な場所からのキーのみを使用します。構成されたエンドポイントからの TLS キー ログ、またはエンゲージメント ルールに基づいて抽出されたシークレット。キーがない場合は、内容ではなく暗号スイートとサイズが表示されます。
表示フィルターの構文は難しいですか?
学習には時間がかかりますが、学習する価値のあるクエリ言語です。ラボのキャプチャに対するフィルターを 1 週間作成すると、日常的なフィルター処理のほとんどが自動化されます。
ほとんどの専門家が最初に学ぶフィルターは何ですか?
1 つのフィルターではなく習慣です。関心のあるホストとプロトコルにフィルターをかけてから、ストリームをフォローします。通常、答えは 1 つの会話の中にあるからです。
オープンソースのセキュリティ ツール に対するKinetikatechの支援
オープンソースのセキュリティ ツール の専門家になる必要はありません：テスト ツールボックスの専門家は、スキャナー、スニッファー、クラッカー、Web プロキシなど、実際の業務での使用方法、つまりコマンド、フラグ、出力、およびそれぞれが方法論のどこに位置するのかについて説明しました。 それがまさにペネトレーションテストとLinuxサーバーセキュリティが存在する理由です。セットアップ、強化、監視、そして昼夜を問わず駆けつける人間のサポート。