Pakete aufzeichnen

Eine Paketerfassung zeichnet den rohen Netzwerkverkehr auf, der über eine Schnittstelle fließt. Sie zeigt unverfälscht, was tatsächlich über die Leitung übertragen wurde.

Analysten verwenden Erfassungen, um Vorfälle zu untersuchen, Protokolle zu debuggen und nach schädlichen Aktivitäten zu suchen.

Die beiden wichtigsten Tools sind Wireshark, ein grafischer Analysator, und tcpdump, ein Befehlszeilen-Tool zur Paketerfassung.

• tcpdump: schlank und ideal für Server und entfernte Erfassungen.
• Wireshark: umfangreiche grafische Oberfläche für tiefgehende Analysen.

Normalerweise ignoriert eine Netzwerkkarte Frames, die nicht an sie adressiert sind. Der Promiscuous Mode weist sie an, alles zu erfassen, was sie sieht.

In geswitchten Netzwerken sehen Sie trotzdem nur Ihren eigenen Datenverkehr, sofern Sie keinen SPAN-Port oder Tap verwenden.

tcpdump erfasst Daten von einer Schnittstelle und gibt Pakete aus oder speichert sie. Die gebräuchlichsten Optionen wählen die Schnittstelle und die Ausgabedatei aus.

Führen Sie das Tool mit ausreichenden Berechtigungen für den Zugriff auf die Schnittstelle aus.

Sie können eine gespeicherte Erfassungsdatei später mit tcpdump oder Wireshark erneut abspielen.

Die Option -r liest aus einer Datei statt von einer Live-Schnittstelle.

Alles zu erfassen ist ineffizient. Erfassungsfilter verwenden die Syntax des Berkeley Packet Filter, um nur relevanten Datenverkehr aufzuzeichnen.

Wenden Sie sie bereits während der Erfassung an, damit die Dateien klein bleiben.

Erfassungen werden als pcap- oder neuere pcapng-Dateien gespeichert. Sie enthalten die rohen Bytes sowie einen Zeitstempel für jedes Paket.

Das Format ist portabel, sodass eine mit tcpdump erstellte Erfassung problemlos in Wireshark geöffnet werden kann.

Wireshark zeigt drei Bereiche: die Paketliste, die Paketdetails (dekodierte Protokollebenen) und die Paketbytes (rohes Hexadezimalformat).

Klicken Sie auf ein beliebiges Paket, um von der Zusammenfassung bis zu den einzelnen Bytes vorzudringen.

Wireshark-Anzeigefilter unterscheiden sich von Erfassungsfiltern: Sie blenden Pakete nach der Erfassung aus, ohne sie zu verwerfen.

Die Syntax ist umfangreicher und feldbezogen.

Lange Mitschnitte füllen Datenträger. Verwenden Sie Ringpuffer, um Dateien nach Größe oder Zeit zu rotieren und nur aktuelle Daten aufzubewahren.

So können Sensoren dauerhaft laufen, ohne den Speicherplatz aufzubrauchen.

Eine Paketerfassung kann vertrauliche Daten offenlegen und ist häufig gesetzlich geregelt. Erfassen Sie Daten nur in Netzwerken, deren Überwachung Sie autorisiert sind.

Behandeln Sie Mitschnitte als vertrauliche Beweismittel und speichern Sie sie sicher.

Testen Sie Ihr Verständnis der Paketerfassung.

Sie haben gelernt, wie man Pakete erfasst.

• tcpdump erfasst Pakete über die Befehlszeile; Wireshark analysiert sie grafisch.
• Der Promiscuous Mode erfasst alle sichtbaren Frames.
• Erfassungsfilter (BPF) reduzieren die Daten bereits bei der Erfassung; Anzeigefilter blenden sie anschließend aus.
• Mitschnitte werden als pcap- oder pcapng-Dateien gespeichert.
• Verwenden Sie für lange Erfassungen Ringpuffer und beachten Sie rechtliche sowie datenschutzrechtliche Grenzen.

Als Nächstes lesen und interpretieren Sie Protokolle.