إخفاء هوية ملفات PCAP وتعقيمها: إزالة البيانات الحساسة دون تدمير الأدلة

غالبًا ما تكون عمليات التقاط الحزم حساسة جدًا بحيث لا يمكن مشاركتها بشكل خام. يمكن أن تحتوي على عناوين IP وأسماء المضيفين وعناوين MAC وملفات تعريف الارتباط وحمولات HTTP وأسماء المستخدمين وأسماء DNS وعناوين البريد الإلكتروني ومسارات الشركات الصغيرة والمتوسطة وبروتوكولات الملكية وبيانات العميل. وفي الوقت نفسه، قد يكون الالتقاط هو الدليل الوحيد اللازم لتصحيح فشل البروتوكول.

الهدف من تعقيم PCAP ليس جعل الملف جميلًا. الهدف هو إزالة البيانات الحساسة أو تحويلها مع الحفاظ على أدلة كافية للإجابة على السؤال الفني.

قرر ما يحتاجه المستلم

قبل إخفاء هوية PCAP، اسأل عما يجب على المستلم تشخيصه:

• سلوك مصافحة TCP وإعادة الإرسال
• قرار DNS
• توقيت TLS
• رموز حالة HTTP
• محتوى حمولة التطبيق
• توجيه IP
• هوية نقطة النهاية
• أحجام الحزمة والتوقيت
• فشل محلل البروتوكول

إذا كان المستلم يحتاج فقط إلى توقيت النقل، فقد يكون تقسيم الحمولة كافيًا. إذا كانوا بحاجة إلى رؤوس HTTP، فإن إزالة كافة بايتات الحمولة النافعة قد يؤدي إلى تدمير الحالة. إذا كانوا بحاجة إلى أدوار نقطة النهاية، فإن التوزيع العشوائي الكامل لكل عنوان دون تعيين مستقر قد يجعل تحليل التدفق مستحيلاً.

التعقيم هو مشكلة متطلبات، وليس مشكلة أداة فقط.

استراتيجيات التعقيم المشتركة

تشمل الأساليب العملية ما يلي:

• إزالة حمولة الحزمة بعد إزاحة ثابتة
• اقتطاع بيانات التطبيق مع الاحتفاظ بالرؤوس
• إخفاء هوية عناوين IP من خلال تعيين مستقر
• إخفاء هوية عناوين MAC
• إزالة أسماء DNS
• تنقيح رؤوس HTTP
• إزالة أسرار TLS أو مراجع سجل المفاتيح
• قم بتقسيم المحادثة ذات الصلة فقط
• إعادة حساب المجموع الاختباري بعد التعديلات

كل استراتيجية تغير الأدلة بشكل مختلف. غالبًا ما يكون تقطيع الحزم أكثر أمانًا للخصوصية، ولكنه يمكنه إزالة وحدات البايت الدقيقة اللازمة لتشخيص فشل طبقة التطبيق.

الحفاظ على التوقيت وهيكل التدفق

حتى اللقطات المعقمة بشكل كبير يمكن أن تظل مفيدة إذا حافظت على:

• ترتيب الحزمة
• الطوابع الزمنية أو التوقيت النسبي
• سلوك تسلسل TCP
• أطوال الحزمة عند الاقتضاء
• directionality
• تجميع المحادثة
• إعادة الإرسال ونمط ACK

بالنسبة للعديد من حالات الشبكات، يكون التوقيت والتسلسل أكثر أهمية من محتوى الحمولة. ولكن إذا كانت أطوال الرزم نفسها حساسة، فيجب أخذ ذلك في الاعتبار أيضًا.

سجل ما تغير

لا ينبغي للقبض المطهر أن يتظاهر بأنه دليل أولي. يجب أن يقول التقرير:

• تجزئة الملف الأصلي
• طريقة التعقيم
• تغيرت الحقول
• طول تقطيع الحمولة
• ما إذا كان قد تم إعادة حساب المجاميع الاختبارية
• ما إذا كان تعيين العنوان مستقرًا
• عدد الحزم قبل وبعد
• تجزئة ملف الإخراج

وهذا يحمي كلا الجانبين. يفهم المستلم حدود الالتقاط، ويمكن للمرسل أن يشرح البيانات الحساسة التي تمت إزالتها.

حيث تناسب جراحة PCAP

تم تصميم جراحة PCAP لسير عمل التقاط الحزم الخاضع للتحكم. ينتمي التعقيم إلى هذا العالم لأنه شكل من أشكال الجراحة. لا ينبغي للمنتج أن يغير بصمت عملية الالتقاط ويمحو المساءلة.

لإخفاء الهوية والتعقيم، يجب أن تتضمن مخرجات جراحة PCAP المفيدة ما يلي:

• ما تمت إزالته
• ما تم الحفاظ عليه
• الحزم التي تأثرت
• ما إذا كانت المجاميع الاختبارية للبروتوكول قد تغيرت
• ما إذا كانت أدلة التوقيت تظل صالحة
• لماذا يناسب وضع التعقيم المختار حالة الدعم

إذا كان استعلام البحث الخاص بك هو "anonymize pcap" أو "تطهير التقاط الحزم قبل المشاركة"، فإن الإجابة الأكثر أهمية ليست أمراً بنقرة واحدة. إنها مطابقة طريقة التنقيح مع الأدلة التي يحتاجها المتلقي بالفعل.