مشكلات الطابع الزمني لـ PCAP: متى يتم فحص وقت الالتقاط أو تطبيعه أو إعادة كتابته
كيفية التفكير في الطوابع الزمنية السيئة لـ PCAP، وانحراف الساعة، وترتيب الالتقاط، وإعادة كتابة الطوابع الزمنية الخاضعة للتحكم دون فقدان الأدلة.
الطوابع الزمنية هي جزء من الأدلة في التقاط الحزمة. وهي تشرح الترتيب وزمن الوصول وتوقيت إعادة الإرسال والفجوات بين الطلب والاستجابة وما إذا كانت المشكلة تتطابق مع سجل التطبيق. عندما تكون الطوابع الزمنية خاطئة، يمكن أن ينجرف التحقيق بأكمله.
لكن إصلاح الطابع الزمني أمر حساس. يمكن أن يؤدي تغيير وقت الالتقاط إلى تسهيل التحليل مع جعل الملف أقل تطابقًا مع الحدث الأصلي.
مشاكل الطابع الزمني الشائعة
تتضمن مشكلات الطابع الزمني لـ PCAP ما يلي:
- تظهر الحزم خارج الترتيب
- الطوابع الزمنية تقفز إلى الوراء
- الطوابع الزمنية كلها صفر
- القرار أقل من المتوقع
- يمتد الالتقاط إلى نطاق زمني مستحيل
- تتغير VM أو ساعة المضيف أثناء الالتقاط
- تستخدم اللقطات المدمجة ساعات مختلفة
- تخلط افتراضات المنطقة الزمنية بين التقارير البشرية
بعض هذه هي مشاكل العرض. بعضها مشاكل في الالتقاط. بعضها مشاكل الدمج. تعتمد استراتيجية الإصلاح على أي منها.
طلب منفصل عن معنى ساعة الحائط
يرتبط ترتيب الحزمة ووقت ساعة الحائط ولكنهما ليسا متطابقين. يمكن أن يحافظ الالتقاط على ترتيب الحزمة مع وجود قيم ساعة حائط عديمة الفائدة. يمكن أن يحتوي الالتقاط الآخر على قيم ساعة حائط معقولة ولكنه يتضمن تدفقات مدمجة من نقاط التقاط مختلفة مما يجعل مقارنات التوقيت غير آمنة.
قبل إعادة كتابة الطوابع الزمنية، اسأل:
- هل ترتيب الحزمة جدير بالثقة؟
- هل التوقيت النسبي جدير بالثقة؟
- هل الوقت المطلق لساعة الحائط ضروري؟
- هل تم دمج الالتقاط من مصادر متعددة؟
- هل توفر سجلات التطبيق مرساة خارجية؟
- هل ستسيء أدوات المصب تفسير الطوابع الزمنية الحالية؟
تحدد هذه الأسئلة ما إذا كان الفحص أو التعليق التوضيحي أو التطبيع أو إعادة الكتابة مناسبًا.
عندما يساعد التطبيع
يمكن أن تكون تسوية الطابع الزمني مفيدة عندما لا يكون الوقت المطلق الأصلي مهمًا، ولكن الترتيب والتباعد النسبي مهمان. على سبيل المثال، قد يظل الالتقاط المعملي باستخدام ساعة نظام خاطئة يعرض توقيتًا صالحًا للطلب والاستجابة. يمكن أن يؤدي تطبيع وقت البدء إلى تسهيل قراءة التقارير دون تغيير السلوك النسبي.
يجب أن يسجل الإخراج:
- الطابع الزمني الأول الأصلي
- الطابع الزمني الأول الطبيعي
- ما إذا تم الحفاظ على الدلتا
- الحزم المتضررة
- سبب التطبيع
وبدون هذا السجل، لا يستطيع مهندس المستقبل معرفة ما إذا كان دليل الوقت أصليًا أم محررًا.
عندما تكون إعادة الكتابة محفوفة بالمخاطر
تعد إعادة كتابة الطوابع الزمنية محفوفة بالمخاطر عندما يجب أن يرتبط الالتقاط بما يلي:
- سجلات الخادم
- سجلات الكاميرا
- USB أو آثار تسلسلية
- الجداول الزمنية للحادث
- الأدلة القانونية أو الامتثال
- يلتقط شبكة متعددة النقاط
في تلك الحالات، قد يؤدي تغيير الطوابع الزمنية إلى تسهيل فحص الملف ولكن من الصعب الثقة به. قد تكون الخطوة الأولى الأفضل هي التعليق التوضيحي: توثيق مشكلة الساعة وترك الالتقاط الأولي سليمًا.
حيث تناسب جراحة PCAP
تم تصميم جراحة PCAP حول التعديلات الخاضعة للرقابة، وليس الطفرات العرضية. يجب أن يتبع عمل الطابع الزمني نفس القاعدة مثل المجموع الاختباري أو قطع الحزمة: افحص أولاً، ثم قرر ثانيًا، وأعد الكتابة فقط عندما يدعمها الدليل.
من المفترض أن يساعد سير عمل جراحة PCAP الجيد في الإجابة على ما يلي:
- ما هو الشذوذ الزمني الموجود؟
- كم عدد الحزم المتضررة؟
- هل الطلب لا يزال جدير بالثقة؟
- هل لا يزال التوقيت النسبي مفيدًا؟
- ما إعادة الكتابة أو التطبيع تم تطبيقه؟
- هل يمكن إعادة إنتاج التغيير؟
بالنسبة لمهندسي البروتوكول، لا تقتصر القيمة على مجرد تغيير الملف. تقوم القيمة بإنتاج مسار التقاط واستدلال يمكن لمهندس آخر التحقق من صحته.