Säkerhetsverktyg med öppen källkod
tcpdump: Paketverktyget som aldrig lämnar servern
tcpdump är fångsthalvan av nätverksanalys, och den lever på varje server vi rör. När en incident eller ett engagemang behöver bevis och lådan är hundratals kilometer bort, skriver tcpdump over SSH filen som Wireshark kommer att analysera senare. Det är minimalt, pålitligt och lite löjligt på bästa sätt: en engångsinstallation, inget GUI och BPF-filter som du kan skriva från minnet efter två veckor.
Nyckelpunkter
- Kärnreflexen: tcpdump -i any -n -w evidence.pcap -c 100000 värd 10.0.0.5 och port 443 — gränssnitt, ingen namnupplösning, skriv till fil, begränsa antalet, filtrera till det som är viktigt.
- -n (lös aldrig namn) är inte förhandlingsbart vid engagemang: DNS-uppslagningar under en infångning lägger till brus och läcker själva infångningen.
- Snabbtextläser använd -A eller -X för nyttolastdumpar, men när du behöver en faktisk analys, sluta och ta en -w-fil till Wireshark.
- BPF är muskelminnet: värd, nät, port, tcp eller udp, och kombinerade filter med och, eller, inte; du lär dig det en gång och använder det i trettio år.
- Ringbuffertar för långa inspelningar: tcpdump -w capture -C 100 -W 20 roterar 100 MB filer så att en disk inte fylls medan du väntar.
- Snaplen och rotationsdisciplin: -s0 för hela paket när det gäller, rotationsstorlekar ställs in innan infrastrukturen ber dig att rensa upp en fylld disk.
- Filtreringsuttryck består av: tcp[13] & 2 betyder SYN-flaggor, och att läsa ett flaggfilter är det ögonblick då tcpdump slutar vara skrämmande.
- Auktoriseringsramningen förblir densamma på alla rutor du fångar på: det måste vara ditt system eller i det signerade omfånget, och fångsten inkluderar andra användares trafik, så behandla filen som känslig data.
Fältnotis
Min längsta inspelning var en roterande 2 GB-dans på en gateway som inte beter sig – och jag förblev bara lugn eftersom -C 100 -W 20 redan hade ställts in. Att leta efter bevis som du måste namnge dig själv slår att förklara en fylld skiva vilken dag som helst.
Vanliga frågor
Varför inte bara köra Wireshark på servern?
Vikt och kostnad: ett grafiskt användargränssnitt och dess dissektorer på en produktionsvärd är slöseri, och huvudlösa servrar har ingen display; tcpdump är kommandoradshalvan av samma jobb.
Är BPF värt att lära sig när visningsfilter finns?
Ja, för fångst: du kan inte filtrera det du inte lagrade, och en tät BPF håller fångstfilerna små och analysen snabb.
Hur stora kan fångster bli?
Obegränsad utan omsorg — det är vad -C och -W finns för, och upptagna nätverk fyller diskar snabbare än någon annan städar.
Fungerar tcpdump på Windows?
Inte naturligt; Windows-sidan är pktmon (modern) eller windump builds (legacy), och ärligt talat sker det mesta av Windows-paketarbete med Wireshark direkt.
Så hjälper Kinetikatech dig med säkerhetsverktyg med öppen källkod
Du ska inte behöva bli expert på säkerhetsverktyg med öppen källkod: Proffsen i testverktygslådan håller faktiskt laddad: skannrar, sniffers, crackers och webbproxyer förklarade hur de används på verkliga engagemang - kommandon, flaggor, utdata och var var och en sitter i en metodik. Det är precis vad Penetrationstester och Linux-serversäkerhet finns till för, installation, härdning, övervakning och en människa på jour dygnet runt.