إصلاح ملف PCAP التالف يبدأ بالأدلة، وليس بالتحويل الأعمى
كيف يجب على مهندسي البروتوكول التعامل مع ملفات PCAP المقتطعة أو الفاسدة قبل تحريرها أو تحويلها أو تسليمها إلى أداة أخرى.
يمكن لملف PCAP التالف أن يوقف التحقيق في أسوأ وقت ممكن. قد يكون الالتقاط هو الدليل الوحيد من موقع العميل، أو نسخة معملية، أو حادث إنتاج. عندما ترفض إحدى الأدوات فتحها، يكون الدافع الأسرع هو تحويلها أو قصها أو تشغيلها من خلال محلل آخر.
هذا يمكن أن ينجح. ويمكنه أيضًا تدمير القرائن التي تفسر الخطأ الذي حدث. يجب أن يبدأ الإصلاح بالأدلة.
تحديد حدود الفشل
قبل تغيير الملف، حدد مكان الفشل:
- لا يمكن قراءة الرأس العالمي
- نوع الارتباط غير متوقع
- رأس الحزمة غير مكتمل
- يتجاوز الطول الملتقط حجم الملف المتبقي
- الطول الأصلي والطول الملتقط غير متناسقين
- تبدو حقول الطابع الزمني غير صالحة
- يتم اقتطاع بيانات الحزمة
- تبقى البايتات الزائدة بعد آخر حزمة صالحة
كل فشل يعني استراتيجية إصلاح مختلفة. الرأس العام السيئ ليس مثل الحزمة الأخيرة المقتطعة. نوع الارتباط الخاطئ ليس هو نفسه ارتباك إلغاء تحميل المجموع الاختباري.
الحفاظ على الالتقاط الأصلي
لا تقم أبدًا بالكتابة فوق الالتقاط الأصلي. يجب أن يقوم سير عمل الإصلاح بإنشاء ملف جديد وتسجيل ما تم تغييره. إذا كان الملف الأصلي دليلاً في حالة دعم أو مراجعة قانونية أو تصعيد المورد، فإن وحدات البايت الأصلية مهمة.
يحافظ سير العمل المنضبط على:
- تجزئة الملف الأصلي
- موقع فشل المحلل اللغوي
- عدد الحزم الصالحة قبل الفشل
- بايت قلصت أو إعادة كتابتها
- تتأثر فهارس الحزمة
- تجزئة ملف الإخراج
- ملاحظات توضح سبب كون التعديل آمنًا
هذه ليست بيروقراطية. هذه هي الطريقة التي يتجنب بها المهندسون جعل عملية الالتقاط أقل جدارة بالثقة.
أنماط الفساد الشائعة
العديد من حالات PCAP الفاسدة بسيطة:
- تمت مقاطعة عملية الالتقاط في منتصف الكتابة
- تم نسخ الملف قبل أن يغلقه الكاتب
- نفدت مساحة القرص
- قامت إحدى الأدوات بكتابة طول حزمة غير صالح
- تمت إعادة تسمية نوع الملف الخاطئ إلى ".pcap".
- توقعات طبقة الارتباط لا تتطابق مع الحمولة
يجب أن يتطابق الإصلاح مع النمط. إذا كانت الحزمة النهائية فقط غير مكتملة، فقد يؤدي قطع السجل الجزئي النهائي إلى استعادة البادئة المفيدة. إذا كانت أطوال الحزمة غير متناسقة في الملف بأكمله، فقد يحتاج الالتقاط إلى التحقق من صحة أعمق قبل أي إعادة كتابة.
لا تعامل الإصلاح على أنه تطبيع
الإصلاح يعني الحفاظ على أكبر قدر ممكن من الأدلة الصحيحة. التطبيع يعني إعادة كتابة البيانات في الشكل المفضل. هذه وظائف مختلفة.
على سبيل المثال، قد يكون تغيير الطوابع الزمنية أو إعادة حساب المجاميع الاختبارية أو إعادة كتابة رؤوس طبقة الارتباط مفيدًا لاحقًا، ولكن لا ينبغي خلط هذه العمليات في خطوة الاسترداد الأولى. قم أولاً باستعادة ما يمكن الوثوق به. ثم قرر ما إذا كانت الجراحة الخاضعة للرقابة مناسبة أم لا.
حيث تناسب جراحة PCAP
تم تصميم جراحة PCAP لمراجعة أدلة الالتقاط الدقيقة وإعادة كتابة سير العمل المتحكم فيه. إنها لا تحاول أن تصبح لاعبًا واسع النطاق أو بديلاً لكل أداة تحليل. يتمثل دورها في مساعدة المهندسين على فحص البيانات التعريفية الملتقطة، وتحديد مكان فشل الملف، وتطبيق التعديلات فقط عندما يدعم الدليل العملية.
بالنسبة للملف التالف، فإن المخرجات القيمة هي:
- أي جزء من الملف صالح
- حيث فشل التحليل
- ما هو إجراء الإصلاح الذي تم تطبيقه
- الحزم أو البايتات التي تأثرت
- ما إذا كان يمكن فتح الملف الناتج بواسطة أدوات المصب
هذا هو الفرق بين "لقد قمت بتشغيل محول" و"أستطيع شرح الإصلاح".