Чӣ тавр бастаҳоро аз рӯи мундариҷаашон бо tcpdump филтр кардан мумкин аст?
Таҳлили пакетҳо як усули муҳим дар соҳаи шабакаҳои компютерӣ мебошад. Tcpdump як абзори сатри фармонест, ки ба мо имкон медиҳад бастаҳо дар шабака сабт ва тафтиш кунем. Яке аз хусусиятҳои пурқуввати tcpdump ин қобилияти филтр кардани бастаҳо аз рӯи мундариҷаи онҳо мебошад. Дар ин мақола, мо меомӯзем, ки чӣ тавр истифода бурдани tcpdump барои филтр кардани пакетҳо аз рӯи мундариҷаи онҳо самаранок.
– Tcpdump чист ва он чӣ гуна кор мекунад?
TCPDump як абзори сатри фармон аст, ки ба шумо имкон медиҳад бастаҳои шабакавӣ дар системаҳои оператсионии дар асоси Unix гирифташуда ва таҳлил карда шавад. Амали он ба гирифтани ҳама бастаҳо асос ёфтааст, ки тавассути интерфейси шабакавии мушаххас мегузаранд ва маълумоти муфассалро дар бораи онҳо, аз қабили суроғаҳои IP-и манбаъ ва таъинот, протоколҳои истифодашуда, портҳои ҷалбшуда ва мундариҷаи бастаҳоро намоиш диҳед.
Яке аз хусусиятҳои барҷастаи TCPDump қобилияти он аст бастаҳоро аз рӯи мундариҷаашон филтр кунед. Ин маънои онро дорад, ки шумо метавонед меъёрҳои муайянро барои гирифтани танҳо бастаҳое, ки ба шартҳои муайян мувофиқанд, муайян кунед. Масалан, шумо метавонед танҳо бастаҳоеро филтр кунед, ки дар мундариҷаашон калимаи мушаххас доранд ё танҳо бастаҳое, ки аз суроғаи мушаххаси IP сарчашма мегиранд ё таъин шудаанд. Ин махсусан дар ҳолатҳое муфид аст, ки шумо мехоҳед намуди мушаххаси трафики шабакаро таҳлил ё назорат кунед.
Барои истифодаи филтркунии мундариҷа дар TCPDump, ибораҳои муқаррарӣ истифода мешаванд, ки ин ибораҳо бо истифода аз синтаксиси мушаххас муайян карда мешаванд ва ба шумо имкон медиҳанд, ки намунаҳои ҷустуҷӯро дар мундариҷаи пакетҳо муайян кунед. Пас аз гирифтани пакетҳо, TCPDump онҳоро бо ифодаи муқаррарӣ муқоиса мекунад ва танҳо онҳоеро нишон медиҳад, ки ба намунаи муқарраршуда мувофиқат мекунанд.. Ин имкон медиҳад, ки зудтар ва самараноктар таҳлили бастаҳои мавриди таваҷҷӯҳ, бидуни тафтиши тамоми сабти трафик. Дар хотир доред, ки ифодаҳои муқаррарӣ метавонанд хеле мураккаб шаванд, аз ин рӯ тавсия дода мешавад, ки дониши хуби синтаксиси онҳоро дошта бошед ва онҳоро бо эҳтиёт истифода баред.
- Филтр кардани бастаҳо аз рӯи мундариҷа: чаро ин муҳим аст?
Филтр кардани бастаҳо аз рӯи мундариҷа вазифаи муҳим барои ҳама мудири шабака мебошад. Он ба шумо имкон медиҳад, ки мундариҷаи бастаҳои маълумотро, ки дар шабака паҳн мешаванд, тафтиш кунед ва дар асоси мундариҷаи ёфтшуда амалҳо андешед. Ин қобилият барои таъмини амният ва кори шабака муҳим аст. Барои иҷрои ин намуди филтр якчанд асбобҳо мавҷуданд, ки яке аз онҳо tcpdump мебошад.
tcpdump як абзори сатри фармонест, ки барои сабт ва таҳлили бастаҳои шабака истифода мешавад. Он барои филтр кардани бастаҳо аз рӯи мундариҷа хеле муфид аст, зеро он ба мо имкон медиҳад, ки қоидаҳо ва шартҳои мушаххасро барои гирифтани танҳо он пакетҳое, ки ба ниёзҳои мо мувофиқанд, муқаррар кунем. Ба туфайли қобилияти филтркунии худ, tcpdump ба мо имкон медиҳад, ки мундариҷаи пакетҳоро таҳлил кунем ва дар асоси ин маълумот қарор қабул кунем.
Филтр кардани бастаҳо аз рӯи мундариҷа бо якчанд сабаб муҳим аст. Дар ҷои аввал, ба мо кӯмак мекунад, ки трафики номатлуб ё зарароварро ошкор ва пешгирӣ кунем, ба монанди кӯшишҳои ҳамла, вирусҳо ё нармафзори зараровар. Гайр аз ин, ба мо имкон медиҳад, ки аз болои маълумоте, ки тавассути он паҳн мешавад, назорати бештар дошта бошем шабакаи мо, ки ба а иҷрои беҳтаршуда ва амнияти бештар. Ниҳоят, филтркунӣ аз рӯи мундариҷа низ муфид аст таҳлил ва ҳалли мушкилоти шабака, зеро мо метавонем мундариҷаи бастаҳоро тафтиш кунем ва сабаби нокомиҳо ё ҳодисаҳои эҳтимолиро муайян кунем.
- Синтаксис ва имконоти филтркунии бастаҳо бо tcpdump
Синтаксис ва имконоти филтркунии бастаҳо бо tcpdump
Синтаксиси TCPDump: Фармони tcpdump барои сабт ва таҳлили трафики шабакавӣ дар системаи амалиётии Unix истифода мешавад. Барои филтр кардани бастаҳо аз рӯи мундариҷа, шумо бояд интихоби "-s" ва пас аз филтреро, ки мехоҳед татбиқ кунед, истифода баред. Масалан, агар шумо хоҳед, ки пакетҳоеро филтр кунед, ки дорои калимаи "парол" мебошанд, фармон чунин хоҳад буд: tcpdump -s "парол".
Филтрҳои умумӣ: tcpdump доираи васеи филтрҳоро пешниҳод мекунад, ки ба шумо имкон медиҳанд, ки ҷустуҷӯҳои бастаҳои худро танзим кунед.
– Host: Ба шумо имкон медиҳад, ки аз рӯи суроғаи IP ё номи домен филтр кунед.
– Port: ба шумо имкон медиҳад, ки аз рӯи манбаъ ё бандари таъинот филтр кунед.
– Net: ба шумо имкон медиҳад, ки аз рӯи суроғаи IP ё диапазони суроғаҳои IP филтр кунед.
– Protocol: ба шумо имкон медиҳад, ки аз рӯи протоколи шабакавӣ, ба монанди TCP, UDP ё ICMP филтр кунед.
Имконоти пешрафта: Илова ба филтрҳои асосӣ, tcpdump инчунин имконоти пешрафтаи филтркунии бастаҳоро пешниҳод мекунад. Баъзе аз ин вариантҳо иборатанд аз:
– src: ба шумо имкон медиҳад, ки аз рӯи суроғаи IP манбаъ филтр кунед.
– dst: ба шумо имкон медиҳад, ки аз рӯи суроғаи IP таъинот филтр кунед.
– не: ба шумо имкон медиҳад, ки филтрро рад кунед, ба истиснои бастаҳое, ки ба ин меъёрҳо мувофиқанд.
– and: ба шумо имкон медиҳад, ки филтрҳои сершуморро барои ҷустуҷӯи мушаххас муттаҳид кунед.
Бо донистани ин синтаксисҳо ва имконоти филтркунии бастаҳо бо tcpdump, шумо метавонед таҳлили трафики шабакаро самараноктар ва фардӣ кунед. Дар хотир доред, ки tcpdump воситаи хеле пурқувват аст, бинобар ин фаҳмидани он ки чӣ тавр дуруст истифода бурдани филтрҳо ва имконоти он барои ба даст овардани натиҷаҳои дилхоҳ муҳим аст. Ҳама имкониятҳоеро, ки tcpdump пешкаш мекунад, таҷриба кунед ва кашф кунед!
- Филтр кардани бастаҳо аз рӯи протокол ва суроғаи IP
Барои филтр кардани пакетҳо аз рӯи протокол ва суроғаи IP истифода tcpdump, мо бояд ҳангоми иҷрои фармон имконоти мувофиқро истифода барем. Ҳамчун қадами аввал, агар мо хоҳем, ки тавассути протокол филтр кунем, мо метавонем протоколи дилхоҳро бо истифода аз опсия муайян кунем -p пас аз номи протокол. Масалан, агар мо хоҳем, ки бастаҳои ба протоколи ICMP мувофиқро филтр кунем, мо истифода мебарем tcpdump -p icmp.Бо ин роҳ, tcpdump танҳо бастаҳоеро нишон медиҳад, ки ба ин протоколи мушаххас мувофиқат мекунанд.
Агар мо хоҳем, ки пакетҳоро аз рӯи суроғаи IP филтр кунем, tcpdump ба мо имкон медиҳад, ки ин корро бо истифода аз опсия иҷро кунем -n пас аз суроғаи IP дилхоҳ. Масалан, агар мо хоҳем, ки танҳо бастаҳоеро филтр кунем, ки суроғаи IP-и манбаи 192.168.1.100 доранд, мо истифода мебарем. tcpdump -n src host 192.168.1.100. Бо ин роҳ, tcpdump танҳо бастаҳоеро намоиш медиҳад, ки ба ин меъёрҳои суроғаи IP мувофиқат мекунанд.
Илова ба филтр кардани суроғаи IP ва протокол ба таври инфиродӣ, мо метавонем ҳарду меъёрро барои ноил шудан ба филтркунии дақиқтар муттаҳид кунем. Барои ин, мо вариантҳоро истифода мебарем -p ва -n якҷоя, пас аз протоколҳо ва суроғаҳои IP-и дилхоҳ. Масалан, агар мо хоҳем, ки бастаҳоеро, ки ба протоколи UDP мувофиқанд ва суроғаи IP-и манбаи 192.168.1.100 дошта бошанд, филтр кунем, мо онро истифода мебарем. tcpdump -p udp ва src host 192.168.1.100. Ин ба мо имкон медиҳад, ки дар як вақт танҳо бастаҳоеро ба даст орем, ки ба ҳарду меъёрҳо ҷавобгӯ бошанд.
- Филтркунӣ аз рӯи манбаъ ва бандари таъинот
TCPDUMP воситаи сатри фармонест, ки ба маъмурони шабака имкон медиҳад, ки трафикро сабт ва таҳлил кунанд. дар вақти воқеӣ. Яке аз хусусиятҳои муфидтарини TCPDUMP қобилияти бастаҳоро аз рӯи мундариҷаашон филтр кунед, ба мо имкон медиҳад, ки таҳлили амиқтари трафики шабакаро анҷом диҳем ва маълумоти мушаххасро пайдо кунем. Дар ин мақола мо мефаҳмонем, ки чӣ тавр пакетҳоро аз рӯи филтр кардан мумкин аст бандари пайдоиш ва таъинот, ки метавонад барои муайян кардани мушкилоти шабака, ошкор кардани фаъолияти шубҳанок ё танҳо филтр кардани трафик барои таҳлили мушаххас муфид бошад.
Филтр аз ҷониби бандари пайдоиш ва таъинот ба мо имкон медиҳад, ки бастаҳоеро интихоб кунем, ки аз онҳо сарчашма мегиранд ё ба порти мушаххаси суроғаи IP равона шудаанд. Ин махсусан вақте муфид аст, ки мо мехоҳем ба як намуди мушаххаси трафик тамаркуз кунем, масалан трафики аз хидмат ё барномаи мушаххас омада ё ба он равонашуда. Масалан, агар мо хоҳем, ки трафики HTTP-ро, ки аз шабакаи мо сарчашма мегирад, таҳлил кунем, мо метавонем филтри "tcp port 80" -ро барои гирифтани танҳо бастаҳое истифода барем, ки порти 80-ро ҳамчун порти манбаъ истифода мебаранд. Бо ин роҳ, мо метавонем танҳо маълумоти марбут ба таҳлили мо ба даст орем.
Барои филтр кардан бандари пайдоиш ва таъинот Бо TCPDUMP, мо метавонем опсияи -d ва пас аз рақами портеро, ки мо мехоҳем филтр кунем, истифода барем. Масалан, агар мо хоҳем, ки бастаҳоеро, ки ба порти 22, ки бандари стандартии протоколи SSH аст, филтр кунем, мо метавонем фармони зеринро истифода барем: tcpdump -d порти 22. Ин ба мо танҳо бастаҳоеро нишон медиҳад, ки порти 22-ро ҳамчун манба ё бандари таъинот истифода мебаранд. Мо метавонем ин филтрро бо дигар филтрҳои дар TCPDUMP мавҷудбуда муттаҳид кунем, то маълумоти мушаххастар дар бораи трафики шабака, ки мо мехоҳем таҳлил кунем.
- Филтри мукаммали мундариҷа бо ибораҳои муқаррарӣ
Яке аз хусусиятҳои пешрафта ва муфиди tcpdump қобилият аст филтр пакетҳо барои мазмуни он. Ин бо истифода аз ба даст меояд ибораҳои муқаррарӣ, ки имкон медиҳад намунаҳои мураккаб ва мушаххаси ҷустуҷӯ муайян карда шаванд.
Ҳангоми истифода ибораҳои муқаррарӣ, мо метавонем бастаҳоро филтр кунем дар асоси ягон сатри матн дар онҳо мавҷуд аст, ба монанди суроғаҳои IP, портҳо, номҳои ҳост, пайдарпаии байтҳои мушаххас ва ғайра. Ин махсусан вақте муфид аст, ки шумо мехоҳед трафики мушаххасро таҳлил кунед дар шабака.
Барои истифода ибораҳои муқаррарӣ дар tcpdump, мо бояд интихобро истифода барем -s пас аз меъёрҳои ҷустуҷӯии дилхоҳ. Масалан, агар мо хоҳем, ки бастаҳоеро филтр кунем, ки сатри "http" -ро дар мундариҷа доранд, мо метавонем фармони ро истифода барем: tcpdump -s «http».
- Гирифтан ва таҳлили бастаҳои ихроҷшуда бо tcpdump
Гирифтан ва таҳлили бастаҳои ихроҷшуда бо tcpdump
TCPDump як абзори сатри фармонест, ки барои сабт ва таҳлили бастаҳои шабакавӣ дар системаҳои Unix васеъ истифода мешавад. Бо TCPDump, имкон дорад, ки ҳамаи пакетҳоеро, ки тавассути интерфейси шабакавии мушаххас мегузарад, сабт кунанд ва онҳоро дар файл барои таҳлили баъдӣ нигоҳ доранд Қобилияти филтр кардани пакетҳо бо tcpdump як хусусияти муҳимест, ки таҳлилро осон мекунад ва аз изофабори иттилооти нолозим пешгирӣ мекунад. .
Ҳангоми истифодаи tcpdump барои гирифтани бастаҳо, шумо метавонед онҳоро аз рӯи суроғаи IP, порт ё протокол филтр кунед. Ин имкон медихад тамаркуз ба як зермаҷмӯи мушаххаси иттилооти дахлдор ва садои номатлубро партоед. Масалан, агар мо ба таҳлили трафики HTTP таваҷҷӯҳ дошта бошем, мо метавонем пакетҳоро бо истифода аз фармони зерин филтр кунем:
tcpdump -i eth0 port 80
Ин фармон танҳо пакетҳоеро, ки аз порти 80 мегузаранд, сабт ва намоиш медиҳад, одатан барои протоколи HTTP истифода мешавад. Бо ин роҳ мо метавонем таваҷҷӯҳ ба таҳлили трафики веб ва аз баррасии бастаҳои номатлуб худдорӣ намоед.
Илова ба филтрҳои асосӣ, tcpdump низ имкон медиҳад бастаҳоро филтр кунед аз рӯи мундариҷа. Ин ҷустуҷӯи як сатри мушаххаси маълумотро дар дохили мундариҷаи бастаҳои гирифташуда дар бар мегирад. Масалан, агар мо хоҳем, ки ҳамаи пакетҳоеро, ки калимаи "парол" дар мӯҳтавои онҳо доранд, сабт кунем, мо метавонем фармони зеринро истифода барем:
tcpdump -i eth0 -A -s0 -w paquetes.pcap 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x70617373'
Бо ин фармон, tcpdump Ҳамаи бастаҳоеро, ки сатри "парол" доранд, гирифта ва дар файли "packages.pcap" нигоҳ медорад.. Пас мо метавонем ин файлро ба таври муфассал таҳлил кунем, то маълумоти дахлдорро пайдо кунем, осебпазирии имконпазирро муайян кунем ва амнияти шабакаро беҳтар созем.
Хулоса, tcpdump як воситаи пурқувват барои сабт ва таҳлили бастаҳои шабакавӣ мебошад. Имкониятҳои филтркунии он аз рӯи суроғаи IP, порт, протокол ва мундариҷа имкон медиҳанд ба маълумоти дахлдор диққат диҳед ва аз маълумоти зиёдатии нолозим канорагирӣ кунед.
- Тавсияҳо барои филтркунии самаранок ва бехатар бо tcpdump
Вақте ки сухан дар бораи бастаҳоро аз рӯи мундариҷаашон бо tcpdump филтр кунед, муҳим аст, ки филтр самаранок ва бехатар бошад. Барои ноил шудан ба ин, мо дар ин ҷо баъзе тавсияҳоро пешниҳод мекунем, ки барои шумо хеле муфид хоҳанд буд:
1. Ибораҳои муқаррариро истифода баред: tcpdump имкон медиҳад, ки ибораҳои муқаррариро барои филтр кардани бастаҳо дар асоси мундариҷа истифода баранд. Ин ба шумо чандирии бузург медиҳад барои муайян кардани намунаҳои мушаххаси ҷустуҷӯ ва филтр кардани танҳо бастаҳое, ки ба ин намунаҳо мувофиқат мекунанд. Шумо метавонед парчами "-s"-ро дар баробари ифодаи муқаррарӣ барои татбиқи филтр истифода баред.
2. Филтри мувофиқро муайян кунед: Барои ба даст овардани натиҷаҳои дақиқ, муҳим аст, ки филтр дуруст муайян карда шавад. Шумо бояд ба таври возеҳ муайян кунед, ки кадом намуди мундариҷаро дар пакетҳо ҷустуҷӯ мекунед, оё он суроғаи IP, порт ё сатри мушаххаси матн аст. Инчунин, боварӣ ҳосил кунед, ки операторҳои мантиқиро дуруст муттаҳид кунед, то минбаъд филтрро такмил диҳед ва натиҷаҳои дилхоҳ ба даст оред.
3. Доираи филтрро маҳдуд кунед: Бояд қайд кард, ки tcpdump ҳамаи пакетҳоеро, ки аз интерфейси шабака мегузаранд, сабт мекунад. Ин метавонад ба миқдори зиёди маълумоти номатлуб оварда расонад ва таҳлилро душвор гардонад. Аз ин рӯ, мо тавсия медиҳем, ки доираи филтрро то ҳадди имкон маҳдуд кунед, то аз изофабори иттилоот канорагирӣ кунед ва раванди таҳлилро суръат бахшед.
Ман Себастьян Видал, муҳандиси компютер ҳастам, ки ба технология ва DIY дилчасп аст. Гузашта аз ин, ман офаринандаи он ҳастам tecnobits.com, ки дар он ман дарсҳоро мубодила мекунам, то технологияро барои ҳама дастрастар ва фаҳмо гардонам.