Open-source beveiligingshulpmiddelen
tcpdump: de pakkettool die de server nooit verlaat
tcpdump is de vastleghelft van de netwerkanalyse en leeft op elke server die we aanraken. Wanneer voor een incident of een confrontatie bewijs nodig is en de box zich honderden kilometers verderop bevindt, schrijft tcpdump via SSH het bestand dat Wireshark later zal analyseren. Het is minimaal, betrouwbaar en enigszins belachelijk op de beste manier: een eenmalige installatie, geen GUI en BPF-filters die je na twee weken uit het geheugen kunt typen.
Kernpunten
- De kernreflex: tcpdump -i any -n -w evidence.pcap -c 100000 host 10.0.0.5 en poort 443 - interface, geen naamresolutie, schrijven naar bestand, limiteer het aantal, filter op wat belangrijk is. Over
- -n (nooit namen omzetten) kan niet worden onderhandeld over afspraken: DNS-zoekopdrachten tijdens een opname voegen ruis toe en lekken de opname zelf.
- Snelle tekst leest gebruik -A of -X voor payload-dumps, maar zodra je daadwerkelijke analyse nodig hebt, stop dan en breng een -w-bestand naar Wireshark.
- BPF is het spiergeheugen: host, net, port, tcp of udp, en gecombineerde filters met en, of, niet; je leert het één keer en gebruikt het dertig jaar.
- Ringbuffers voor lange opnames: tcpdump -w capture -C 100 -W 20 roteert bestanden van 100 MB zodat een schijf niet vol raakt terwijl u wacht.
- Snaplen en rotatiediscipline: -s0 voor volledige pakketten als het er toe doet, rotatiegroottes ingesteld voordat de infrastructuur u vraagt een gevulde schijf op te ruimen.
- Het filteren van expressies bestaat uit: tcp[13] & 2 betekenen SYN-vlaggen, en het lezen van een vlaggenfilter is het moment waarop tcpdump niet langer eng is.
- De autorisatieframing blijft hetzelfde op elke box waarop u vastlegt: het moet uw systeem zijn of binnen het ondertekende bereik vallen, en de vastlegging omvat het verkeer van andere gebruikers, dus behandel het bestand als gevoelige gegevens.
Notitie uit de praktijk
Mijn langste opname was een roterende dans van 2 GB op een poort die zich misdroeg - en ik bleef alleen kalm omdat -C 100 -W 20 al was ingesteld. Zoeken naar bewijs dat je jezelf moet noemen, is elke dag beter dan een gevulde schijf uitleggen.
Veelgestelde vragen
Waarom draait u Wireshark niet gewoon op de server?
Gewicht en kosten: een GUI en zijn dissectoren op een productiehost zijn verspilling, en headless servers hebben geen display; tcpdump is de opdrachtregelhelft van dezelfde taak.
Is BPF de moeite waard om te leren als er weergavefilters bestaan?
Ja, voor vastleggen: je kunt niet filteren wat je niet hebt opgeslagen, en een strakke BPF houdt de vastgelegde bestanden klein en de analyse snel.
Hoe groot kunnen opnames worden?
Grenzeloos zonder zorg - dat is waar -C en -W voor bestaan, en drukke netwerken vullen schijven sneller dan wie dan ook boekt met opruimen.
Werkt tcpdump op Windows?
Niet native; de Windows-kant is pktmon (modern) of windump-builds (legacy), en eerlijk gezegd gebeurt het meeste Windows-pakketwerk rechtstreeks met Wireshark.
Hoe Kinetikatech helpt bij open-source beveiligingshulpmiddelen
U hoeft geen expert te worden in open-source beveiligingshulpmiddelen: De professionals in de testtoolbox blijven feitelijk geladen: scanners, sniffers, crackers en webproxy's legden de manier uit waarop ze worden gebruikt bij echte opdrachten: opdrachten, vlaggen, uitvoer en waar elk ervan in een methodologie zit. Precies daarvoor bestaat Penetratietests en Linux-serverbeveiliging: setup, hardening, monitoring en een engineer met bereikbaarheidsdienst, dag en nacht.