오픈 소스 보안 도구
tcpdump: 서버를 떠나지 않는 패킷 도구
tcpdump는 네트워크 분석의 캡처 절반이며 우리가 접촉하는 모든 서버에 존재합니다. 사건이나 참여에 증거가 필요하고 상자가 수백 킬로미터 떨어져 있는 경우 SSH를 통한 tcpdump는 Wireshark가 나중에 분석할 파일을 작성합니다. 가장 좋은 방법은 최소한이고 신뢰할 수 있으며 약간 우스꽝스럽습니다. 일회성 설치, GUI 없음, 2주 후에 메모리에서 입력할 수 있는 BPF 필터입니다.
핵심 내용
- 핵심 반사: tcpdump -i any -n -w 증거.pcap -c 100000 호스트 10.0.0.5 및 포트 443 — 인터페이스, 이름 확인 없음, 파일에 쓰기, 개수 제한, 중요한 항목 필터링.
- -n(이름 확인 안 함)은 참여 시 협상할 수 없습니다. 캡처 중 DNS 조회로 인해 노이즈가 추가되고 캡처 자체가 유출됩니다.
- 빠른 텍스트 읽기는 페이로드 덤프에 -A 또는 -X를 사용하지만 실제 분석이 필요한 경우 중지하고 -w 파일을 Wireshark로 가져옵니다.
- BPF는 머슬 메모리입니다. 호스트, 넷, 포트, tcp 또는 udp 및 and, or, not과 결합된 필터; 한 번 배우면 30년 동안 사용할 수 있습니다.
- 긴 캡처를 위한 링 버퍼: tcpdump -w 캡처 -C 100 -W 20은 100MB 파일을 회전하므로 기다리는 동안 디스크가 채워지지 않습니다.
- Snaplen 및 회전 규칙: 중요한 경우 전체 패킷의 경우 -s0, 인프라가 채워진 디스크 정리를 요청하기 전에 회전 크기를 설정합니다.
- 필터링 표현식은 다음과 같이 구성됩니다. tcp[13] & 2는 SYN 플래그를 의미하며 플래그 필터를 읽는 것은 tcpdump가 더 이상 무섭지 않게 되는 순간입니다.
- 인증 프레이밍은 캡처하는 모든 상자에서 동일하게 유지됩니다. 시스템 또는 서명된 범위에 있어야 하며 캡처에는 다른 사용자의 트래픽이 포함되므로 파일을 민감한 데이터로 취급하십시오.
현장 노트
가장 긴 캡처는 오작동하는 게이트웨이에서 회전하는 2GB 댄스였으며 -C 100 -W 20이 이미 설정되어 있었기 때문에 침착함을 유지했습니다. 자신의 이름을 밝힐 수 있는 증거를 검색하는 것은 언제든지 채워진 디스크를 설명하는 것보다 낫습니다.
자주 묻는 질문
왜 서버에서 Wireshark를 실행하지 않습니까?
무게와 비용: 프로덕션 호스트의 GUI와 해부기는 낭비이고 헤드리스 서버에는 디스플레이가 없습니다. tcpdump는 동일한 작업의 명령줄 절반입니다.
디스플레이 필터가 존재할 때 BPF를 배울 가치가 있나요?
예, 캡처의 경우: 저장하지 않은 것은 필터링할 수 없으며 엄격한 BPF는 캡처 파일을 작게 유지하고 분석을 빠르게 유지합니다.
캡처는 얼마나 커질 수 있나요?
주의 없이 제한되지 않음 - 이것이 바로 -C와 -W의 존재 목적이며 바쁜 네트워크는 책을 정리하는 것보다 더 빠르게 디스크를 채웁니다.
tcpdump는 Windows에서 작동합니까?
기본적으로는 아닙니다. Windows 측은 pktmon(최신) 또는 windump 빌드(레거시)이며 솔직히 대부분의 Windows 패킷 작업은 Wireshark에서 직접 발생합니다.
오픈 소스 보안 도구에 대한 Kinetikatech의 지원
저희는 이것을 수백 번 처리했습니다: 테스트 도구 상자 전문가들은 실제로 계속 로드됩니다. 스캐너, 스니퍼, 크래커 및 웹 프록시는 실제 참여에서 사용되는 방식(명령, 플래그, 출력 및 방법론에서 각각의 위치)을 설명했습니다. 모의해킹 및 Linux 서버 보안와 함께하면 평가, 구현, 24시간 연중무휴 모니터링, 그리고 중요한 때에 30분 이내 대응이라는 완전한 사이클을 제공합니다.