Безбедносни алати отвореног кода
тцпдумп: Алатка за пакете која никада не напушта сервер
тцпдумп је половина анализе мреже и живи на сваком серверу који додирнемо. Када је за инцидент или ангажман потребан доказ, а кутија је стотинама километара далеко, тцпдумп преко ССХ-а уписује датотеку коју ће Виресхарк касније анализирати. То је минимално, поуздано и помало смешно на најбољи начин: једнократна инсталација, без ГУИ и БПФ филтера које можете да куцате из меморије након две недеље.
Кључне точке
- Основни рефлекс: тцпдумп -и било који -н -в евиденце.пцап -ц 100000 хост 10.0.0.5 и порт 443 — интерфејс, без резолуције имена, писање у датотеку, ограничење броја, филтрирање према ономе што је битно.
- -н (никада не решавај имена) није предмет преговора о ангажманима: ДНС претраге током снимања додају буку и пропуштају само снимање.
- Брзо читање текста користи -А или -Кс за думпове корисног оптерећења, али када вам затреба стварна анализа, зауставите се и однесите -в датотеку у Виресхарк.
- БПФ је мишићна меморија: хост, мрежа, порт, тцп или удп, и комбиновани филтери са и, или, не; једном научиш и користиш тридесет година.
- Прстенасти бафери за дуга снимања: тцпдумп -в цаптуре -Ц 100 -В 20 ротира 100 МБ фајлова тако да се диск не попуни док чекате.
- Снаплен и дисциплина ротације: -с0 за пуне пакете када је то важно, величине ротације постављене пре него што инфраструктура затражи да очистите попуњен диск.
- Изрази за филтрирање се састоје: тцп[13] & 2 значе СИН заставице, а читање филтера заставице је тренутак када тцпдумп престане да буде застрашујући.
- Уоквиривање ауторизације остаје исто на било којој кутији на којој снимите: то мора бити ваш систем или у потписаном опсегу, а снимање укључује саобраћај других корисника, па третирајте датотеку као осетљиве податке.
Теренска биљешка
Моје најдуже снимање је био ротирајући плес од 2 ГБ на мрежном пролазу који се лоше понаша — и остао сам само миран јер је -Ц 100 -В 20 већ био подешен. Трагање за доказима које морате да прозовете боље је од објашњавања попуњеног диска сваког дана.
Цесто постављања питања
Зашто једноставно не покренете Виресхарк на серверу?
Тежина и цена: ГУИ и његови дисектори на производном хосту су отпад, а сервери без главе немају екран; тцпдумп је половина командне линије истог посла.
Да ли је БПФ вредан учења када постоје филтери за приказ?
Да, за снимање: не можете филтрирати оно што нисте ускладиштили, а чврсти БПФ одржава датотеке снимања малим и брзу анализу.
Колико велика могу бити хватања?
Неограничено без бриге — за то постоје -Ц и -В, а заузете мреже пуне дискове брже него што било ко изврши чишћење.
Да ли тцпдумп ради на Виндовс-у?
Не нативно; Виндовс страна је пктмон (модерна) или виндумп буилдс (наслеђе), и искрено, већина Виндовс пакета се дешава директно са Виресхарком.
Како Kinetikatech помаже код безбедносни алати отвореног кода
Понуда је једноставна: Професионалци у кутији алата за тестирање су заправо пуни: скенери, њушкари, крекери и веб проксији објаснили су начин на који се користе у стварним ангажманима — команде, заставице, излази и где се сваки налази у методологији. Повјерите то нашој услузи Penetration Testing и Linux Server Security и имате потпуну покривеност: озбиљна процјена, чиста имплементација, надзор без престанка.