Odprtokodna varnostna orodja
Wireshark: Gre za branje paketov kot profesionalec
Wireshark zajame datoteko za zajem in naredi omrežje čitljivo: vsak protokol razčlenjen, vsak tok sledi, vsak filter vprašanje, ki ga lahko postavite milijonom paketov. Pri poslih je to analitska stran paketnega dela — zajemanje s tcpdump na strežniku, nato odpiranje datoteke v Wiresharku, kjer GUI izvede dejansko branje. Spretnost ni klikanje; je vedeti, katero vprašanje zastaviti naslednje, od rekonstrukcije toka do dešifriranja TLS, ko pravila sodelovanja omogočajo ekstrahiranje skrivnosti.
Ključne točke
- Naučite se oba jezika filtrov in ju ohranjajte naravnost: filtri za zajem so BPF (gostitelj 10.0.0.5 in vrata 443), filtri za prikaz se izvajajo po zajemu (http.request.method == 'POST').
- Follow Stream (z desno miškino tipko kliknite na kateri koli paket TCP) je delovna sila: tisoč paketov spremeni v en pomemben pogovor.
- Najprej statistika, nato paketi: Hierarhija protokola in pogovori vam takoj povedo, kaj zajem dejansko vsebuje.
- Strokovne informacije so triažni pas – ponovne oddaje, nepravilno oblikovani okvirji in sumljive zastavice površinske napake, ki bi jih ročno branje odkrilo, bi trajalo eno uro.
- Dešifrirajte TLS na zakonit način: ko ga pooblasti posel, naložite ključne datoteke dnevnika TLS ali ekstrahirane skrivnosti in rokovanje ne bo več zid šifriranega besedila.
- Ne zajemajte na produkcijskem strežniku z Wiresharkom: tam zajemajte s tcpdump -w, analizirajte brez povezave; grafični uporabniški vmesnik in pomnilniško požrešen sklad za disekcijo ne sodita na poslovnega gostitelja.
- Poimenujte zajeme na fazo (nmap-recon.pcapng, auth-test.pcapng) in jih zgostite; ugotovitev poročila, ki ne more pokazati na svojo neobdelano datoteko, je govorica.
- Promiskuitetni način pomeni branje prometa, ki ni vaš: v skupnih omrežjih in Wi-Fi je zajemanje podatkov drugih oseb brez pooblastila zasebnost in zakon, ne pa bonton.
Terenska beležka
Follow Stream je enkrat rešil štiriurni sestanek s kazanjem s prstom, tako da je pokazal, da je bila »težava z aplikacijo« ena preusmeritvena zanka HTTP. Zdaj najprej refleksno odprem Statistiko - odgovor je bil ves čas v hierarhiji protokola.
Pogosta vprašanja
Wireshark ali tcpdump — kaj dejansko uporabljate?
Oboje, razdeljeno po lokaciji: tcpdump zajame na strežniku, ker je že tam in ne stane nič, Wireshark analizira na delovni postaji, kjer si dissektorji služijo.
Ali lahko bere šifriran promet?
Samo s ključi od nekega zakonitega mesta: dnevniki ključev TLS iz konfigurirane končne točke ali skrivnosti, pridobljene v skladu s pravili sodelovanja; brez ključev prikazuje pakete šifr in velikosti, ne vsebine.
Ali je sintaksa filtra zaslona težka?
Ima krivuljo učenja, vendar je poizvedovalni jezik, ki se ga je vredno naučiti; teden pisanja filtrov proti laboratorijskim zajemom naredi večino vsakodnevnega filtriranja samodejno.
Kateri je prvi filter, ki se ga večina strokovnjakov nauči?
Ne en sam filter, ampak navada: filtrirajte do gostitelja in protokola, ki vas zanima, nato sledite toku, ker je odgovor običajno v enem pogovoru.
Kako Kinetikatech pomaga s odprtokodna varnostna orodja
To je, kar vsak dan storimo: Strokovnjaki z orodjem za preskušanje dejansko še naprej nalagajo: skenerji, snifferji, krekerji in spletni posredniki so razložili, kako se uporabljajo pri resničnih dogodkih – ukazi, zastavice, izhodi in mesto vsakega v metodologiji. Naša storitev Teste prodiranja in Varnost strežnikov Linux pokrije vse, od evaluacije do implementacije, monitoringu 24/7 in hitne intervencije v 30 minutah.