เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
tcpdump: เครื่องมือแพ็คเก็ตที่ไม่เคยออกจากเซิร์ฟเวอร์
tcpdump เป็นการเก็บรวบรวมข้อมูลครึ่งหนึ่งของการวิเคราะห์เครือข่าย และทำงานบนทุกเซิร์ฟเวอร์ที่เราสัมผัส เมื่อเหตุการณ์หรือการสู้รบต้องการหลักฐานและกล่องนั้นอยู่ห่างออกไปหลายร้อยกิโลเมตร tcpdump บน SSH จะเขียนไฟล์ที่ Wireshark จะวิเคราะห์ในภายหลัง มันเป็นเพียงเล็กน้อย เชื่อถือได้ และไร้สาระเล็กน้อยในวิธีที่ดีที่สุด: ติดตั้งเพียงครั้งเดียว ไม่มี GUI และตัวกรอง BPF ที่คุณสามารถพิมพ์จากหน่วยความจำได้หลังจากผ่านไปสองสัปดาห์
ประเด็นสำคัญ
- การตอบสนองหลัก: tcpdump -i any -n -w allowance.pcap -c 100000 โฮสต์ 10.0.0.5 และพอร์ต 443 — อินเทอร์เฟซ ไม่มีการจำแนกชื่อ เขียนลงไฟล์ จำกัดจำนวน กรองเฉพาะสิ่งที่สำคัญ
- -n (ไม่ต้องแก้ไขชื่อ) ไม่สามารถต่อรองได้ในการนัดหมาย: การค้นหา DNS ระหว่างการจับภาพจะเพิ่มสัญญาณรบกวนและทำให้การจับภาพรั่วไหล
- การอ่านข้อความด่วนใช้ -A หรือ -X สำหรับเพย์โหลดดัมพ์ แต่เมื่อคุณต้องการการวิเคราะห์จริง ให้หยุดแล้วนำไฟล์ -w ไปที่ Wireshark
- BPF คือหน่วยความจำของกล้ามเนื้อ: โฮสต์, เน็ต, พอร์ต, tcp หรือ udp และตัวกรองรวมที่มีและหรือไม่ใช่ คุณเรียนรู้มันเพียงครั้งเดียวและใช้มันเป็นเวลาสามสิบปี
- บัฟเฟอร์วงแหวนสำหรับการจับภาพแบบยาว: tcpdump -w capture -C 100 -W 20 หมุนไฟล์ 100 MB เพื่อไม่ให้ดิสก์เต็มในขณะที่คุณรอ
- Snaplen และวินัยในการหมุน: -s0 สำหรับแพ็กเก็ตเต็มเมื่อมีความสำคัญ ขนาดการหมุนที่ตั้งค่าก่อนที่โครงสร้างพื้นฐานจะขอให้คุณล้างดิสก์ที่เต็ม
- การกรองนิพจน์ประกอบด้วย: tcp[13] & 2 หมายถึงแฟล็ก SYN และการอ่านตัวกรองแฟล็กคือช่วงเวลาที่ tcpdump หยุดน่ากลัว
- กรอบการอนุญาตจะยังคงเหมือนเดิมบนกล่องใดๆ ที่คุณจับภาพ โดยจะต้องเป็นระบบของคุณหรืออยู่ในขอบเขตที่ลงนาม และการจับภาพจะรวมการรับส่งข้อมูลของผู้ใช้รายอื่นด้วย ดังนั้นให้ถือว่าไฟล์เป็นข้อมูลที่ละเอียดอ่อน
บันทึกจากหน้างาน
การจับภาพที่ยาวที่สุดของฉันคือการหมุนเวียน 2 GB บนเกตเวย์ที่ทำงานผิดปกติ — และฉันก็นิ่งเฉยเพราะตั้งค่า -C 100 -W 20 ไว้แล้ว การค้นหาหลักฐานที่คุณต้องตั้งชื่อตัวเองเอาชนะการอธิบายดิสก์ที่เต็มในแต่ละวัน
คำถามที่พบบ่อย
ทำไมไม่รัน Wireshark บนเซิร์ฟเวอร์ล่ะ?
น้ำหนักและต้นทุน: GUI และตัววิเคราะห์บนโฮสต์ที่ใช้งานจริงนั้นสิ้นเปลือง และเซิร์ฟเวอร์แบบไม่มีส่วนหัวไม่มีจอแสดงผล tcpdump เป็นบรรทัดคำสั่งครึ่งหนึ่งของงานเดียวกัน
BPF คุ้มค่าที่จะเรียนรู้เมื่อมีตัวกรองการแสดงผลหรือไม่
ใช่ สำหรับการจับภาพ: คุณไม่สามารถกรองสิ่งที่คุณไม่ได้จัดเก็บได้ และ BPF ที่แคบจะทำให้ไฟล์การจับภาพมีขนาดเล็กและวิเคราะห์ได้อย่างรวดเร็ว
การจับได้มากขนาดไหน?
ไม่มีขอบเขตโดยปราศจากการดูแล นั่นคือสิ่งที่ -C และ -W มีไว้เพื่อ และเครือข่ายที่ยุ่งวุ่นวายจะเติมดิสก์ได้เร็วกว่าการล้างข้อมูลหนังสือใดๆ
tcpdump ทำงานบน Windows หรือไม่
ไม่ใช่โดยกำเนิด ฝั่ง Windows คือ pktmon (สมัยใหม่) หรือ windump builds (แบบเดิม) และจริงๆ แล้วงานแพ็กเก็ต Windows ส่วนใหญ่เกิดขึ้นกับ Wireshark โดยตรง
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
พูดตรง ๆ ว่าทีมส่วนใหญ่มาหาเราหลังลองทำเองมาแล้ว: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี บริการ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux ของเรามีอยู่เพื่อไม่ให้คุณต้องเรียนรู้ เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส แบบเจ็บปวด เราดูแลทั้งการตั้งค่า การเฝ้าดู และเรื่องกะทันหันตอนตีสาม