Atvirojo kodo saugos įrankiai
tcpdump: Paketų įrankis, kuris niekada nepalieka serverio
„tcpdump“ yra tinklo analizės fiksavimo dalis ir yra kiekviename serveryje, kurį paliečiame. Kai incidentui ar sužadėtuvėms reikia įrodymų, o dėžė yra už šimtų kilometrų, tcpdump per SSH įrašo failą, kurį Wireshark analizuos vėliau. Tai minimalus, patikimas ir šiek tiek juokingas geriausiu būdu: vienkartinis diegimas, be GUI ir BPF filtrų, kuriuos galite įvesti iš atminties po dviejų savaičių.
Pagrindiniai punktai
- Pagrindinis refleksas: tcpdump -i any -n -w įrodymai.pcap -c 100000 host 10.0.0.5 ir prievadas 443 - sąsaja, be pavadinimo skyros, rašyti į failą, apriboti skaičių, filtruoti, kas svarbu.
- -n (niekada neišspręskite pavadinimų) yra nediskutuotinas dėl įsipareigojimų: DNS paieškos fiksavimo metu padidina triukšmą ir nutekina patį fiksavimą.
- Greitojo teksto skaitymui naudingos apkrovos sąvartynams naudokite -A arba -X, bet kai jums reikės tikrosios analizės, sustokite ir nuneškite failą -w į Wireshark.
- BPF yra raumenų atmintis: pagrindinis kompiuteris, tinklas, prievadas, tcp arba udp ir kombinuoti filtrai su ir, arba ne; išmoksti jį vieną kartą ir naudoji trisdešimt metų.
- Skambučio buferiai ilgiems fiksavimui: tcpdump -w capture -C 100 -W 20 sukasi 100 MB failus, todėl laukiant diskas neužsipildo.
- „Snaplen“ ir sukimosi disciplina: -s0 pilniems paketams, kai tai svarbu, sukimosi dydžiai nustatomi prieš tai, kai infrastruktūra prašo išvalyti užpildytą diską.
- Filtravimo išraiškos sudaromos: tcp[13] & 2 reiškia SYN vėliavėles, o vėliavėlių filtro skaitymas yra momentas, kai tcpdump nustoja būti baisu.
- Prieigos kadravimas išlieka toks pat bet kuriame langelyje, kuriame fiksuojate: tai turi būti jūsų sistemoje arba pasirašytoje srityje, o fiksavimas apima kitų naudotojų srautą, todėl laikykite failą kaip neskelbtinus duomenis.
Pastaba iš praktikos
Mano ilgiausias fiksavimas buvo besisukantis 2 GB šokis netinkamai veikiančiame šliuze – ir išlikau ramus, nes jau buvo nustatytas -C 100 -W 20. Ieškodami įrodymų, kad galėtumėte pavadinti save, kiekvieną dieną nepavyksta paaiškinti užpildyto disko.
Dažniausiai užduodami klausimai
Kodėl tiesiog nepaleidus „Wireshark“ serveryje?
Svoris ir kaina: GUI ir jos skirstytuvai gamybos pagrindiniame kompiuteryje yra atliekos, o serveriai be galvučių neturi ekrano; tcpdump yra to paties darbo komandinės eilutės pusė.
Ar verta mokytis BPF, kai yra ekrano filtrai?
Taip, fiksavimui: negalite filtruoti to, ko neišsaugojote, o griežtas BPF leidžia fiksuoti failus mažus ir analizuoti greitai.
Kokio dydžio gali būti užfiksuoti vaizdai?
Neribota be priežiūros – būtent tam egzistuoja -C ir -W, o užimti tinklai užpildo diskus greičiau, nei kas nors užsisako valymą.
Ar tcpdump veikia sistemoje Windows?
Ne gimtoji; „Windows“ pusė yra „pktmon“ (šiuolaikinė) arba „windump“ versijos (pasenusi), ir atvirai kalbant, dauguma „Windows“ paketų darbo atliekami tiesiogiai naudojant „Wireshark“.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Atvirai — dauguma komandų kreipiasi į mus pirmiau pabandžiusios pačios: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Mūsų paslauga Pratimų testai ir Linux serverių sauga skirta tam, kad jums nereikėtų atvirojo kodo saugos įrankiai pažinti sunkiausiu keliu; mes pasirūpiname paleidimu, priežiūra ir netikėtumais trečią valandą nakties.