Narzędzia bezpieczeństwa typu open source
tcpdump: narzędzie do pakietów, które nigdy nie opuszcza serwera.
tcpdump to połowa analizy sieci, która przechwytuje i działa na każdym serwerze, z którym się stykamy. Kiedy incydent lub zaangażowanie wymaga dowodów, a skrzynka jest oddalona o setki kilometrów, tcpdump przez SSH zapisuje plik, który Wireshark przeanalizuje później. Jest minimalny, niezawodny i nieco absurdalny w najlepszym tego słowa znaczeniu: jednorazowa instalacja, brak GUI i filtry BPF, które możesz pisać z pamięci po dwóch tygodniach.
Kluczowe punkty
- Podstawowy odruch: tcpdump -i any -n -w dowód.pcap -c 100000 host 10.0.0.5 i port 443 — interfejs, brak rozpoznawania nazw, zapis do pliku, ograniczenie liczby, filtrowanie według tego, co ważne.
- -n (nigdy nie rozpoznawaj nazw) nie podlega negocjacjom w przypadku zaangażowania: wyszukiwania DNS podczas przechwytywania dodają szum i powodują wyciek samego przechwytywania.
- Szybki odczyt tekstu używa -A lub -X do zrzutów ładunku, ale gdy będziesz potrzebować faktycznej analizy, zatrzymaj się i przenieś plik -w do Wireshark.
- BPF to pamięć mięśniowa: host, sieć, port, tcp lub udp oraz filtry kombinowane z and, or, not; uczysz się tego raz i używasz przez trzydzieści lat.
- Bufory pierścieniowe do długich przechwytywania: tcpdump -w przechwytywanie -C 100 -W 20 obraca pliki o rozmiarze 100 MB, aby dysk nie zapełniał się podczas oczekiwania.
- Snaplen i dyscyplina rotacji: -s0 dla pełnych pakietów, gdy ma to znaczenie, rozmiary rotacji ustawiane, zanim infrastruktura poprosi o wyczyszczenie zapełnionego dysku.
- Filtrowanie wyrażeń tworzy: tcp[13] i 2 oznaczają flagi SYN, a odczytanie filtra flag to moment, w którym tcpdump przestaje być straszny.
- Ramki autoryzacyjne pozostają takie same w przypadku każdego urządzenia, na którym przechwytujesz: musi to być Twój system lub obszar z podpisem, a przechwytywanie obejmuje ruch innych użytkowników, więc traktuj plik jako dane wrażliwe.
Notatka z praktyki
Moje najdłuższe przechwytywanie polegało na rotacyjnym tańcu o pojemności 2 GB na źle działającej bramce — i zachowałem spokój tylko dlatego, że -C 100 -W 20 zostało już ustawione. Wyszukiwanie dowodów, które możesz sobie podać, jest lepsze niż codzienne wyjaśnianie zapełnionego dysku.
Częste pytania
Dlaczego po prostu nie uruchomić Wireshark na serwerze?
Waga i koszt: GUI i jego dysektory na hoście produkcyjnym to marnotrawstwo, a serwery bezgłowe nie mają wyświetlaczy; tcpdump to połowa tego samego zadania z wiersza poleceń.
Czy warto uczyć się BPF, gdy istnieją filtry wyświetlania?
Tak, w przypadku przechwytywania: nie można filtrować tego, czego nie zapisano, a ścisły BPF zapewnia małe rozmiary przechwytywanych plików i szybką analizę.
Jak duże mogą być przechwytywania?
Nieograniczone bez opieki — po to właśnie istnieją -C i -W, a zajęte sieci zapełniają dyski szybciej niż ktokolwiek inny zajmuje się czyszczeniem.
Czy tcpdump działa w systemie Windows?
Nie natywnie; strona Windows to kompilacje pktmon (nowoczesne) lub kompilacje windump (starsze) i szczerze mówiąc, większość pracy z pakietami Windows odbywa się bezpośrednio w Wireshark.
Jak Kinetikatech pomaga w narzędzia bezpieczeństwa typu open source
Rozwiązywaliśmy to setki razy: Specjaliści zajmujący się zestawem narzędzi testowych faktycznie są naładowani: skanery, sniffery, crackery i serwery proxy WWW wyjaśniły, w jaki sposób są używane w rzeczywistych zadaniach — polecenia, flagi, dane wyjściowe i miejsce każdego z nich w metodologii. Z Testy penetracyjne i Bezpieczeństwo serwerów Linux otrzymują Państwo pełny cykl: oceniamy, wdrażamy, monitorujemy przez całą dobę i odpowiadamy w 30 minut, gdy ma to znaczenie.