패킷 증거를 준비하는 네트워크 엔지니어를 위한 PCAP 편집 FAQ

이 FAQ는 증거, 픽스처 또는 고객 인계를 위해 패킷 캡처를 준비해야 하는 네트워크 엔지니어, SOC 분석가, QA 팀 및 지원 엔지니어의 실용적인 질문에 답변합니다. 패킷 캡처 복구 및 무결처리 워크플로와 함께 사용됩니다.

Wireshark로 PCAP 파일을 편집할 수 있나요?

Wireshark는 검사, 필터링 및 분석에 탁월합니다. 집중된 시각적 PCAP 편집 워크플로는 아닙니다. 패킷을 검사하고, 변경 사항을 미리 보고, 체크섬을 복구하고, 값을 무결처리하고, 캡처를 분할하고, 더 깨끗한 파일을 내보내야 할 때 PCAP Surgery를 사용하십시오.

editcap으로 충분한 경우는 언제인가요?

변환이 알려져 있고 스크립트 가능한 경우 editcap으로 충분합니다: 명령줄 플래그를 사용하여 캡처 분할, 변환, 트리밍 또는 조정. 먼저 증거를 검사하여 무엇을 변경할지 결정해야 할 때 PCAP Surgery를 사용하십시오.

TraceWrangler가 더 나은 선택인 경우는 언제인가요?

전체 작업이 전문적인 익명화이고 팀이 이미 신뢰할 수 있는 편집 프로세스를 가지고 있을 때 TraceWrangler가 더 나은 선택일 수 있습니다. 편집이 더 넓은 검사, 복구, 분할 및 내보내기 워크플로의 일부일 때 PCAP Surgery를 사용하십시오.

패킷 캡처를 안전하게 무결처리하려면 어떻게 하나요?

먼저 조직을 떠나서는 안 되는 것을 식별하십시오: IP 주소, 호스트 이름, 페이로드, DNS 이름, HTTP 필드, TLS SNI 및 고객 식별자. 그런 다음 시퀀스, 타이밍, 프로토콜 컨텍스트 및 장애 경계를 보존하십시오. PCAP 파일 익명화 및 무결처리를 읽으십시오.

체크섬 오류는 항상 복구해야 하나요?

아니요. 일부 체크섬 경고는 손상된 패킷이 아니라 캡처 머신의 오프로드 아티팩트입니다. 먼저 PCAP 체크섬 오류가 항상 나쁜 패킷은 아닙니다로 컨텍스트를 검사하십시오. 내보낸 파일에 수정된 증거가 필요한 경우에만 복구하십시오.

스토리를 잃지 않고 대용량 PCAP을 어떻게 분할하나요?

문제를 증명하는 패킷을 유지하십시오: 핸드셰이크, DNS 조회, TLS 협상, 애플리케이션 요청, 재전송, 리셋 또는 타이밍 간격. 더 작은 사례를 내보내기 전에 대용량 PCAP 분할 및 하나의 대화 추출을 사용하십시오.

PCAPNG는 편집 측면에서 PCAP과 다른가요?

네. PCAPNG는 인터페이스 메타데이터, 타임스탬프 해상도, 주석 및 여러 캡처 소스를 포함할 수 있습니다. 클래식 PCAP은 더 간단합니다. 파일을 변환하거나 편집하기 전에 PCAPNG 대 PCAP 형식 메타데이터를 읽으십시오.

어디서 시작해야 하나요?

패킷 캡처 복구 및 무결처리 워크플로로 시작한 다음 PCAP Surgery 개요 도움말을 읽으십시오. PCAP Surgery 다운로드에서 설치하거나 PCAP Surgery 블로그 인덱스를 찾아보십시오.