Nástroje zabezpečenia s otvoreným zdrojom
tcpdump: paketový nástroj, ktorý nikdy neopustí server
tcpdump je zachytávacou polovicou sieťovej analýzy a žije na každom serveri, ktorého sa dotkneme. Keď incident alebo zapojenie potrebuje dôkazy a krabica je vzdialená stovky kilometrov, tcpdump cez SSH zapíše súbor, ktorý bude Wireshark analyzovať neskôr. Je minimálny, spoľahlivý a trochu smiešny tým najlepším spôsobom: jednorazová inštalácia, žiadne grafické používateľské rozhranie a filtre BPF, ktoré môžete písať z pamäte po dvoch týždňoch.
Kľúčové body
- Základný reflex: tcpdump -i any -n -w evidence.pcap -c 100000 hostiteľ 10.0.0.5 a port 443 — rozhranie, bez rozlíšenia názvov, zápis do súboru, obmedzenie počtu, filtrovanie podľa toho, na čom záleží.
- -n (nikdy nerozlišovať názvy) nie je možné vyjednávať pri zapájaní: vyhľadávania DNS počas zachytávania pridávajú šum a prepúšťajú samotné zachytenie.
- Rýchle čítanie textu používa -A alebo -X pre výpisy užitočného zaťaženia, ale akonáhle potrebujete skutočnú analýzu, zastavte a vezmite -w súbor do Wiresharku.
- BPF je svalová pamäť: hostiteľ, sieť, port, tcp alebo udp a kombinované filtre s a, alebo, nie; raz sa to naučíš a používaš tridsať rokov.
- Vyzváňacie vyrovnávacie pamäte pre dlhé zachytávanie: tcpdump -w capture -C 100 -W 20 otočí 100 MB súbory, takže disk sa počas čakania nezaplní.
- Snaplen a disciplína rotácie: -s0 pre plné pakety, keď na tom záleží, veľkosti rotácie nastavené pred tým, ako vás infraštruktúra požiada o vyčistenie plného disku.
- Filtrovacie výrazy tvoria: tcp[13] & 2 stredné príznaky SYN a čítanie filtra príznakov je moment, kedy tcpdump prestane byť desivý.
- Rámec oprávnenia zostáva rovnaký v každom boxe, do ktorého zachytíte: musí to byť váš systém alebo v podpísanom rozsahu a zachytenie zahŕňa prenos iných používateľov, takže so súborom zaobchádzajte ako s citlivými údajmi.
Poznámka z teréna
Môj najdlhší záber bol rotujúci 2 GB tanec na zle fungujúcej bráne – a zostal som pokojný len preto, že -C 100 -W 20 už bolo nastavené. Hľadanie dôkazov, ktoré si musíte pomenovať, nie je možné vysvetľovať zaplnený disk každý deň.
Často kladené otázky
Prečo jednoducho nespustíte Wireshark na serveri?
Hmotnosť a cena: GUI a jeho disektory na produkčnom hostiteľovi sú odpad a servery bez hlavy nemajú žiadny displej; tcpdump je polovica tej istej úlohy príkazového riadku.
Oplatí sa BPF učiť, keď existujú zobrazovacie filtre?
Áno, na zachytenie: nemôžete filtrovať to, čo ste neuložili, a tesný BPF udržuje zachytené súbory malé a analýzu rýchlo.
Aké veľké môžu byť zábery?
Neohraničený bez starostí – na to existujú -C a -W a vyťažené siete zapĺňajú disky rýchlejšie, než ktokoľvek iný účtuje upratovanie.
Funguje tcpdump v systéme Windows?
Nie natívne; na strane Windowsu sú zostavy pktmon (moderné) alebo windump (staršie) a úprimne, väčšina práce s paketmi Windows prebieha priamo s Wireshark.
Ako Kinetikatech pomáha s nástroje zabezpečenia s otvoreným zdrojom
To je to, čo robíme každý deň: Profesionáli testovacej sady nástrojov majú skutočne nabité: skenery, sniffery, crackery a webové servery proxy vysvetlili spôsob, akým sa používajú pri skutočných stretnutiach – príkazy, príznaky, výstupy a kde každý sedí v metodológii. Naša služba Testy penetrácie a Bezpečnosť Linuxových serverov pokrýva všetko od hodnotenia po implementáciu, monitoring 24/7 a núdzovú reakciu do 30 minút.