Часто задаваемые вопросы по редактированию PCAP для сетевых инженеров, подготавливающих доказательства пакетов

В этом разделе часто задаваемых вопросов содержатся ответы на практические вопросы сетевых инженеров, аналитиков SOC, групп контроля качества и инженеров службы поддержки, которым необходимо подготовить захват пакетов для доказательства, оборудования или передачи клиентам. Он сочетается с рабочим процессом восстановления и очистки захвата пакетов.

Может ли Wireshark редактировать файлы PCAP?

Wireshark отлично подходит для проверки, фильтрации и анализа. Это не сфокусированный рабочий процесс визуального редактирования PCAP. Используйте PCAP Surgery, когда вам нужно проверить пакеты, просмотреть изменения, исправить контрольные суммы, очистить значения, разделить захваты и экспортировать более чистый файл.

Когда достаточно EditCap?

Editcap достаточно, если преобразование известно и доступно для сценария: разделить, преобразовать, обрезать или настроить захват с помощью флагов командной строки. Используйте операцию PCAP, когда вам нужно решить, что изменить, предварительно проверив доказательства.

Когда TraceWrangler является лучшим выбором?

TraceWrangler может быть лучшим выбором, если вся работа заключается в специализированной анонимизации и у команды уже есть надежный процесс редактирования. Используйте PCAP Surgery, когда редактирование является частью более широкого рабочего процесса проверки, восстановления, разделения и экспорта.

Как безопасно очистить перехваченный пакет?

Начните с определения того, что не должно выходить за пределы организации: IP-адреса, имена хостов, полезные данные, DNS-имена, поля HTTP, TLS SNI и идентификаторы клиентов. Затем сохраните последовательность, время, контекст протокола и границу сбоя. Прочтите анонимизировать и очистить файлы PCAP.

Всегда ли нужно исправлять ошибки контрольной суммы?

Нет. Некоторые предупреждения о контрольной сумме являются артефактами выгрузки с машины захвата, а не поврежденными пакетами. Сначала проверьте контекст с помощью ошибки контрольной суммы PCAP не всегда являются плохими пакетами. Исправляйте только тогда, когда экспортированный файл нуждается в исправленных доказательствах.

Как разделить большой PCAP, не потеряв историю?

Сохраните пакеты, подтверждающие проблему: подтверждение связи, поиск DNS, согласование TLS, запрос приложения, повторные передачи, сбросы или разрыв во времени. Используйте разделить большой PCAP и извлечь один разговор перед экспортом случая меньшего размера.

PCAPNG отличается от PCAP для редактирования?

Да. PCAPNG может содержать метаданные интерфейса, разрешение временных меток, комментарии и несколько источников захвата. Классический PCAP проще. Прочтите метаданные формата PCAPNG и PCAP перед преобразованием или редактированием файлов.

С чего мне начать?

Начните с рабочего процесса восстановления и очистки захвата пакетов, затем прочитайте Справку по обзору PCAP Surgery. Установите его из загрузки PCAP Surgery или просмотрите указатель блога PCAP Surgery.