PCAPNG 대 PCAP: 인터페이스 메타데이터 및 타임스탬프 확인이 중요한 이유

엔지니어들은 .pcap과 .pcapng를 상호 교환 가능한 패킷 캡처 파일로 취급하는 경우가 많습니다. 그것들은 관련되어 있지만 동일하지는 않습니다. 이전 PCAP 형식은 간단하고 널리 지원됩니다. PCAPNG는 인터페이스 정보, 타임스탬프 확인, 주석 및 캡처 컨텍스트와 같은 보다 풍부한 메타데이터를 전달할 수 있습니다.

일상적인 시청에서는 차이가 중요하지 않을 수 있습니다. 수리, 재작성, 증거 전달 및 다중 인터페이스 분석의 경우 이는 매우 중요할 수 있습니다.

클래식 PCAP가 제공하는 것

클래식 PCAP는 간단합니다.

• 글로벌 헤더
• 링크 유형
• 패킷 기록
• timestamp
• 캡처된 길이
• 원래 길이
• 패킷 바이트

그 단순함이 강점이다. 많은 도구에서 이를 읽을 수 있습니다. 검사가 쉽습니다. 캡처에 하나의 인터페이스, 하나의 링크 유형이 있고 추가 컨텍스트가 필요하지 않은 경우에는 충분합니다.

그러나 단순성은 또한 인터페이스 이름, 캡처 필터, OS, 타임스탬프 해상도 가정, 캡처가 수행된 이유에 대한 설명 등 중요한 증거가 파일 외부에 있을 수 있음을 의미합니다.

PCAPNG가 추가하는 것

PCAPNG는 블록 기반 구조를 지원합니다. 작가에 따라 다음이 포함될 수 있습니다.

• 섹션 메타데이터
• 인터페이스 설명
• 인터페이스별 타임스탬프 해상도
• 인터페이스 이름 및 설명
• 패킷 코멘트
• 통계 캡처
• 다중 인터페이스
• 더욱 풍부한 옵션 필드

이는 복잡한 사례를 진단할 때 유용할 수 있습니다. 캡처에 둘 이상의 인터페이스로부터의 트래픽이 포함된 경우 어떤 패킷이 어떤 인터페이스에서 왔는지 아는 것은 선택 사항이 아닙니다. 타임스탬프 해상도가 다른 경우 타이밍 분석이 변경될 수 있습니다.

수술 워크플로우에서 메타데이터가 중요한 이유

패킷 캡처를 복구하거나 다시 작성할 때 메타데이터는 증거의 일부입니다. PCAPNG에서 PCAP로 변환하면 유용한 컨텍스트가 삭제될 수 있습니다. PCAP에서 PCAPNG로의 변환은 구조를 추가할 수 있지만 존재하지 않았던 메타데이터를 마법처럼 복구할 수는 없습니다.

변환하기 전에 다음 사항을 질문하십시오.

• 캡처에 여러 인터페이스가 있습니까?
• 인터페이스 이름이 중요합니까?
• 댓글이나 캡처 통계가 필요합니까?
• 타임스탬프 해상도가 알려져 있나요?
• 다운스트림 도구에는 클래식 PCAP가 필요합니까?
• 변환이 타이밍 해석 방식을 변경합니까?

정답은 "PCAPNG 유지"일 수 있습니다. "호환성을 위해 PCAP 복사본을 내보내되 원본은 보존"할 수도 있습니다.

타임스탬프 확인은 놓치기 쉽습니다

타이밍 분석은 해상도에 따라 달라집니다. 마이크로초를 기록하는 캡처와 나노초를 기록하는 캡처는 UI에서 유사하게 보일 수 있지만 정밀도는 다릅니다. PCAPNG는 인터페이스별로 타임스탬프 확인을 명시적으로 만들 수 있습니다. Classic PCAP는 변형에 따라 더 제한된 가정을 가지고 있습니다.

대기 시간, 재전송 타이밍, 지터 또는 요청-응답 간격을 디버깅하는 경우 편집하기 전에 타임스탬프 의미 체계를 기록해야 합니다.

PCAP 수술이 적합한 곳

PCAP 수술은 형식 변환 및 메타데이터 보존을 증거 중심 작업으로 처리해야 합니다. 목표는 복잡성을 숨기는 것이 아닙니다. 목표는 캡처에 포함된 내용과 편집으로 인해 손실되거나 변경되는 내용을 명확히 하는 것입니다.

형식 중심 보고서의 경우 유용한 출력은 다음과 같습니다.

• 입력 형식
• 링크 유형
• 패킷 수
• 타임스탬프 해상도
• 가능한 경우 인터페이스 메타데이터
• 출력 형식
• 메타데이터가 보존되거나 폐기됨
• 전환 이유

이는 프로토콜 엔지니어에게 파일이 의도적으로 변환되었다는 확신을 줍니다.

쿼리가 "pcapng 대 pcap" 또는 "pcapng를 pcap로 변환"인 경우 대답은 파일 확장자에서 끝나서는 안 됩니다. 개종 후에도 어떤 증거가 남아 있어야 하는지 물어보십시오.