PCAP-Zeitstempelprobleme: Wann die Erfassungszeit überprüft, normalisiert oder neu geschrieben werden sollte

Zeitstempel sind Teil der Beweise bei der Paketerfassung. Sie erläutern Reihenfolge, Latenz, Zeitpunkt der erneuten Übertragung, Lücken zwischen Anforderung und Antwort und ob ein Problem mit einem Anwendungsprotokoll übereinstimmt. Wenn die Zeitstempel falsch sind, kann die gesamte Untersuchung ins Wanken geraten.

Die Reparatur von Zeitstempeln ist jedoch empfindlich. Eine Änderung der Erfassungszeit kann die Analyse erleichtern, führt aber auch dazu, dass die Datei dem ursprünglichen Ereignis weniger genau entspricht.

Häufige Zeitstempelprobleme

Zu den Problemen mit dem PCAP-Zeitstempel gehören:

• Pakete scheinen nicht in der richtigen Reihenfolge zu sein
• Zeitstempel springen zurück
• Zeitstempel sind alle Null
• Die Auflösung ist geringer als erwartet
• Die Erfassung erstreckt sich über einen unmöglichen Zeitraum
• Änderungen der VM- oder Host-Uhr während der Erfassung
• Zusammengeführte Aufnahmen verwenden unterschiedliche Uhren
• Zeitzonenannahmen verwirren menschliche Berichte

Einige davon sind Anzeigeprobleme. Bei einigen handelt es sich um Aufnahmeprobleme. Bei einigen handelt es sich um Zusammenführungsprobleme. Die Reparaturstrategie hängt davon ab, um welche es sich handelt.

Die Bedeutung der Bestellung von der Bedeutung der Wanduhr trennen

Paketreihenfolge und Uhrzeit hängen zusammen, sind aber nicht identisch. Eine Erfassung kann die Paketreihenfolge beibehalten und gleichzeitig nutzlose Wall-Clock-Werte aufweisen. Eine andere Erfassung kann plausible Wall-Clock-Werte haben, aber zusammengeführte Streams von verschiedenen Erfassungspunkten enthalten, die Zeitvergleiche unsicher machen.

Fragen Sie vor dem Umschreiben von Zeitstempeln Folgendes:

• Ist die Paketbestellung vertrauenswürdig?
• Ist das relative Timing vertrauenswürdig?
• Wird eine absolute Wanduhrzeit benötigt?
• Ist die Erfassung aus mehreren Quellen zusammengeführt?
• Bieten Anwendungsprotokolle einen externen Anker?
• Werden nachgelagerte Tools die aktuellen Zeitstempel falsch interpretieren?

Diese Fragen bestimmen, ob Inspektion, Annotation, Normalisierung oder Umschreiben angemessen sind.

Wenn Normalisierung hilft

Die Normalisierung von Zeitstempeln kann nützlich sein, wenn die ursprüngliche absolute Zeit nicht wichtig ist, die relative Reihenfolge und der Abstand jedoch schon. Beispielsweise zeigt eine Laboraufnahme mit einer falschen Systemuhr möglicherweise immer noch ein gültiges Anfrage-Antwort-Timing an. Durch die Normalisierung der Startzeit können Berichte leichter lesbar gemacht werden, ohne dass sich das relative Verhalten ändert.

Die Ausgabe sollte Folgendes aufzeichnen:

• ursprünglicher erster Zeitstempel
• normalisierter erster Zeitstempel
• ob Deltas erhalten blieben
• betroffene Pakete
• Grund für die Normalisierung

Ohne diese Aufzeichnung kann ein zukünftiger Ingenieur nicht sagen, ob die Zeitnachweise original oder bearbeitet sind.

Wenn das Umschreiben riskant ist

Das Umschreiben von Zeitstempeln ist riskant, wenn die Erfassung korreliert werden muss mit:

• Serverprotokolle
• Kameraprotokolle
• USB- oder serielle Spuren
• Zeitpläne für Vorfälle
• Rechts- oder Compliance-Beweise
• Mehrpunkt-Netzwerkerfassungen

In diesen Fällen kann die Änderung der Zeitstempel dazu führen, dass die Datei leichter zu prüfen, aber schwerer zu vertrauen ist. Ein besserer erster Schritt könnte die Annotation sein: Dokumentieren Sie das Uhrproblem und lassen Sie die Roherfassung intakt.

Wo die PCAP-Chirurgie passt

Die PCAP-Chirurgie basiert auf kontrollierten Bearbeitungen und nicht auf zufälligen Mutationen. Bei der Arbeit mit Zeitstempeln sollte die gleiche Regel gelten wie bei Prüfsummen oder Paketbeschneidung: Zuerst prüfen, dann entscheiden und nur dann neu schreiben, wenn die Beweise dies belegen.

Ein guter PCAP-Chirurgie-Workflow sollte bei der Beantwortung folgender Fragen helfen:

• Welche Zeitstempelanomalie liegt vor?
• Wie viele Pakete sind betroffen?
• Ist die Bestellung noch vertrauenswürdig?
• Ist relatives Timing noch sinnvoll?
• Welche Umschreibung oder Normalisierung wurde angewendet?
• Kann die Änderung reproduziert werden?

Für Protokollingenieure besteht der Wert nicht nur darin, eine Datei zu ändern. Der Wert besteht darin, eine Erfassung und einen Argumentationspfad zu erstellen, den ein anderer Ingenieur validieren kann.