Computer >> कंप्यूटर ट्यूटोरियल >  >> नेटवर्किंग >> नेटवर्क सुरक्षा

पैकेट कैप्चर नेटवर्क सुरक्षा में क्या है?

पैकेट कैप्चर (PCAP): नेटवर्क सुरक्षा का माइक्रोस्कोप

पैकेट कैप्चर नेटवर्क इंटरफेस से गुजरने वाले डेटा पैकेट्स को रोकना, लॉग करना और विश्लेषण करना है। यह नेटवर्क समस्या निवारण, सुरक्षा विश्लेषण, फोरेंसिक और प्रदर्शन अनुकूलन का मौलिक उपकरण है।

पैकेट कैप्चर कैसे काम करता है

  1. प्रमिसक्वस/मॉनिटर मोड: NIC सभी ट्रैफिक प्राप्त करता है, न कि केवल अपने MAC पर संबोधित
  2. कर्नेल बफर: पैकेट्स कर्नेल मेमोरी में बफर किए जाते हैं (ड्रॉप से बचने के लिए)
  3. यूजर-स्पेस डिलीवरी: libpcap/WinPcap/Npcap लाइब्रेरी के माध्यम से एप्लिकेशन को
  4. पार्सिंग और प्रदर्शन: प्रोटोकॉल डिकोडिंग, फिल्टरिंग, विज़ुअलाइज़ेशन

मुख्य उपयोग के मामले

महत्वपूर्ण उपकरण

  • Wireshark: GUI, गहन प्रोटोकॉल डिकोडिंग, उद्योग मानक (फ्री, ओपन सोर्स)
  • tcpdump / tshark: CLI, सर्वर/हेडलेस कैप्चर, स्क्रिप्टिंग के लिए आदर्श
  • Zeek (पूर्व Bro): नेटवर्क सुरक्षा मॉनिटर, उच्च-स्तरीय लॉग (conn.log, http.log, dns.log, ssl.log)
  • Suricata: IDS/IPS + NSM, मल्टी-थ्रेडेड, नियम-आधारित (Emerging Threats, ET Pro)
  • Arkime (पूर्व Moloch): बड़े पैमाने पर PCAP इंडेक्सिंग, पूर्ण पैकेट खोज, सत्र पुनर्निर्माण
  • NetworkMiner: निष्क्रिय नेटवर्क फोरेंसिक, फाइल निष्कर्षण, क्रेडेंशियल हार्वेस्टिंग
  • Scapy (Python): प्रोग्रामेटिक पैकेट निर्माण/हेरफेर/कैप्चर

कैप्चर फिल्टर vs डिस्प्ले फिल्टर (Wireshark)

उपयोग मामलाविवरणउपकरण
नेटवर्क समस्या निवारणकनेक्टिविटी, विलंबता, पुनःप्रेषण, विंडो स्केलिंग मुद्देWireshark, tcpdump, tshark
सुरक्षा घटना प्रतिक्रियामैलवेयर C2 ट्रैफिक, डेटा एक्सफिल्ट्रेशन, लेटरल मूवमेंट पहचानZeek (Bro), Suricata, NetworkMiner
फोरेंसिक जांचसबूत संरक्षण, टाइमलाइन पुनर्निर्माण, अटेंशनPCAP फाइलें (सबूत श्रृंखला के साथ)
खतरा शिकारज्ञात IOC, संदिग्ध पैटर्न, बीकनिंग, DNS टनलिंग के लिए सक्रिय खोजElastic/Splunk + PCAP, Arkime
प्रदर्शन विश्लेषणथ्रूपुट, RTT, जिटर, पैकेट हानि, TCP विंडो विश्लेषणWireshark IO Graphs, tcptrace
प्रोटोकॉल विकास/डीबगिंगकस्टम प्रोटोकॉल कार्यान्वयन सत्यापित करनाWireshark, स्कैपी (Python)

महत्वपूर्ण विश्लेषण तकनीकें

  1. TCP 3-वे हैंडशेक विश्लेषण: SYN, SYN-ACK, ACK - कनेक्शन स्थापना मुद्दे पहचानें
  2. पुनःप्रेषण और डुप्लिकेट ACK: पैकेट हानि, भीड़भाड़ के संकेतक
  3. TLS/SSL हैंडशेक: सर्टिफिकेट सत्यापन, सिफर सूट, SNI, सत्र पुनरारंभ
  4. DNS विश्लेषण: क्वेरी/रिस्पॉन्स समय, NXDOMAIN, CNAME चेन, DNS टनलिंग (उच्च एन्ट्रॉपी सबडोमेन)
  5. एक्सपर्ट इन्फॉर्मेशन (Wireshark): त्रुटियां, चेतावनियां, नोट्स, चैट - त्वरित ट्राइएज
  6. फॉलो TCP/UDP स्ट्रीम: पूर्ण वार्तालाप पुनर्निर्माण
  7. IO ग्राफ्स: समय के साथ थ्रूपुट, पैकेट दर, बिट दर विज़ुअलाइज़ करें

कानूनी और नैतिक विचार

  • स्वामित्व/प्राधिकरण: केवल अपने नेटवर्क पर या स्पष्ट लिखित अनुमति के साथ कैप्चर करें
  • वायरटैप कानून: यूएस: ECPA/वायरटैप अधिनियम - सहमति आवश्यक (एक-पक्षीय/दो-पक्षीय राज्य)
  • GDPR/गोपनीयता: PCAP में व्यक्तिगत डेटा हो सकता है - उचित तरीके से संभालें, अनावश्यक डेटा न्यूनतम करें
  • कॉर्पोरेट नीति: अधिकांश संगठन अनधिकृत स्निफिंग को प्रतिबंधित करते हैं
  • सार्वजनिक वाई-फाई: अनएन्क्रिप्टेड ट्रैफिक कैप्चर करना कानूनी रूप से ग्रे क्षेत्र - नैतिक रूप से संदिग्ध

PCAP फ़ाइल प्रारूप

  • PCAP (libpcap): मूल प्रारूप, 32-बिट टाइमस्टैम्प, 1 माइक्रोसेकंड रिज़ॉल्यूशन
  • PCAPNG: आधुनिक, विस्तारित, नैनोसेकंड रिज़ॉल्यूशन, मल्टी-इंटरफेस, मेटाडेटा समर्थन
  • एक्सटेंशन: .pcap, .pcapng, .cap

सुरक्षा के लिए पैकेट कैप्चर सर्वोत्तम अभ्यास

  1. रणनीतिक टैप/SPAN पोर्ट: नेटवर्क चोक पॉइंट्स (कोर स्विच, फायरवॉल इनग्रेस/इग्रेस, DMZ)
  2. समर्पित सेंसर हार्डवेयर: उच्च-प्रदर्शन NIC (Intel X710/XL710, Napatech, Myricom), DPDK/XDP
  3. 100% कैप्चर: नमूनाकरण नहीं - उन्नत खतरे कम-मात्रा के हो सकते हैं
  4. अपरिवर्तनीय स्टोरेज: WORM, क्लाउड ऑब्जेक्ट स्टोरेज (S3 Object Lock)
  5. रिटेंशन नीति: हॉट (7-30 दिन), वार्म (90-365 दिन), कोल्ड (वर्षों - अनुपालन)
  6. स्वचालित विश्लेषण: Zeek + Suricata + SIEM पाइपलाइन

Wireshark में त्वरित प्रारंभ

# इंटरफेस सूची
tshark -D

# कैप्चर (eth0 पर, पोर्ट 80/443, 1000 पैकेट तक)
tshark -i eth0 -f "port 80 or port 443" -c 1000 -w capture.pcapng

# Wireshark GUI में खोलें
wireshark capture.pcapng
  1. - नेटवर्क सिक्योरिटी क्या है?

    नेटवर्क सिक्योरिटी: परिभाषा, प्रकार, महत्व और कार्यप्रणाली नेटवर्क सिक्योरिटी समझाइए? नेटवर्क सिक्योरिटी से कंपनी अपने इंफ्रास्ट्रक्चर और उपयोगकर्ताओं की रक्षा करती है, संभावित हानिकारक खतरों को नेटवर्क में प्रवेश/प्रसार से रोककर। नेटवर्क सिक्योरिटी क्या है और कैसे काम करती है? विभिन्न सुरक्षा खतर

  1. - नेटवर्क सिक्योरिटी ID क्या है? (नेटवर्क सिक्योरिटी की से अंतर)

    नेटवर्क सिक्योरिटी ID vs नेटवर्क सिक्योरिटी की - भ्रम दूर करें अक्सर लोग नेटवर्क सिक्योरिटी ID और नेटवर्क सिक्योरिटी की (की) में भ्रमित होते हैं। ये अलग-अलग चीजें हैं: नेटवर्क सिक्योरिटी की (Network Security Key) - वास्तविक पासवर्ड क्या है: आपके वाई-फाई नेटवर्क का पासवर्ड (WPA/WPA2/WPA3 की)। अन्य

  1. - नेटवर्क सुरक्षा क्या है?

    नेटवर्क सुरक्षा: परिभाषा, प्रकार, महत्व और कार्यविधि नेटवर्क सुरक्षा हार्डवेयर, सॉफ्टवेयर और नीतियों का संयोजन है जो नेटवर्क और डेटा को अनधिकृत पहुंच, दुरुपयोग, खराबी, संशोधन, विनाश या अनुचित प्रकटीकरण से बचाता है। नेटवर्क सुरक्षा का क्या अर्थ है? जब भी आप किसी सुरक्षा गतिविधि में भाग लेते हैं, तो

© कॉपीराइट https://in.wsxdn.com सर्वाधिकार सुरक्षित
प्रकारसिंटैक्सउदाहरणकहां लागू
कैप्चर फिल्टरBPF (बर्कले पैकेट फिल्टर)host 192.168.1.10 and port 443कैप्चर के दौरान (कर्नेल स्तर) - डिस्क/CPU बचाता है
डिस्प्ले फिल्टरWireshark विशिष्टhttp.request.method == "POST" && ip.addr == 10.0.0.1कैप्चर के बाद (विश्लेषण के दौरान)