匿名和清理 PCAP 文件:在不破坏证据的情况下删除敏感数据
在共享捕获之前如何考虑 PCAP 匿名化、数据包切片、有效负载删除、校验和重新计算以及证据保存。
数据包捕获通常过于敏感而无法共享原始数据。它们可以包含 IP 地址、主机名、MAC 地址、cookie、HTTP 有效负载、用户名、DNS 名称、电子邮件地址、SMB 路径、专有协议和客户数据。同时，捕获可能是调试协议故障所需的唯一证据。
PCAP 清理的目标不是使文件变得漂亮。目标是删除或转换敏感数据，同时保留足够的证据来回答技术问题。
决定接收者需要什么
在匿名 PCAP 之前，询问接收者必须诊断什么：
- TCP握手和重传行为
- DNS解析
- TLS 计时
- HTTP 状态代码
- 应用程序有效负载内容
- IP路由
- 端点身份
- 数据包大小和时间
- 协议解析器失败
如果接收者只需要传输定时，有效负载切片可能就足够了。如果他们需要 HTTP 标头，则删除所有有效负载字节可能会破坏外壳。如果他们需要端点角色，在没有稳定映射的情况下完全随机化每个地址可能会使流量分析变得不可能。
清理是一个需求问题，而不仅仅是一个工具问题。
常见的消毒策略
实用的方法包括：
- 在固定偏移量后删除数据包有效负载
- 截断应用程序数据但保留标头
- 通过稳定的映射对 IP 地址进行匿名化
- MAC 地址匿名化
- 删除 DNS 名称
- 编辑 HTTP 标头
- 删除 TLS 机密或密钥日志引用
- 仅拆分相关对话
- 编辑后重新计算校验和
每种策略都会以不同的方式改变证据。数据包切片通常对于隐私来说更安全，但它可以删除诊断应用程序层故障所需的确切字节。
保留时序和流程结构
即使经过严格消毒的捕获仍然有用，如果它们保留：
- 包顺序
- 时间戳或相对时间
- TCP 序列行为
- 适当时的数据包长度
- directionality
- 对话分组
- 重传和ACK模式
对于许多网络案例，时序和序列证据比有效负载内容更重要。但如果数据包长度本身很敏感，则也必须考虑这一点。
记录变化
经过消毒的捕获不应冒充原始证据。报告应该说：
- 原始文件哈希
- 消毒方法
- 字段已更改
- 有效载荷切片长度
- 是否重新计算校验和
- 地址映射是否稳定
- 之前和之后的数据包计数
- 输出文件哈希值
这样可以保护双方。收件人了解捕获的限制，发件人可以解释删除了哪些敏感数据。
PCAP 手术适合的场合
PCAP 手术专为受控数据包捕获工作流程而构建。消毒属于那个世界，因为它是手术的一种形式。产品不应该默默地改变捕获并消除责任。
为了匿名化和消毒，有用的 PCAP 手术输出应包括：
- 被删除的内容
- 保存了什么
- 哪些数据包受到影响
- 协议校验和是否改变
- 时间证据是否仍然有效
- 为什么选择的消毒模式适合支持案例
如果您的搜索查询是“匿名 pcap”或“共享之前清理数据包捕获”，那么最重要的答案不是一键式命令。它将编辑方法与接收者实际需要的证据相匹配。