Ağ incelemesi

01Kapsam

Tam paket yakalama (pcap/pcapng): oturumlar, protokoller, çıkarılan dosyalar, TLS üst verisi
Akış kayıtları (NetFlow, IPFIX, sFlow) ve güvenlik duvarı bağlantı günlükleri
DNS sorgu günlükleri, DHCP kira günlükleri, proxy ve web geçidi günlükleri
VPN, RADIUS ve 802.1X kimlik doğrulama kayıtları
Adres çevirisi: NAT, CGNAT ve ISS kayıtlarının çözebildikleri ile çözemedikleri

Bu genel adresi ve portu bu UTC saniyesinde hangi dahili cihaz kullandı?
Dışarıya veri aktarıldı mı; ne kadar, nereye ve hangi protokolle?
Bir bağlantıdan önce hangi alan adları, hangi ana bilgisayar tarafından çözüldü?
Uzak oturum (RDP, SSH, VPN) oldu mu; hangi adresten ve ne kadar süreyle?
Günlükleyen cihazların saatleri eşitlenmiş mi; ne kadar farklılar?

Kaynak	Ne verir	Not
Tanımlı bir noktada paket yakalama (span portu, tap, ana bilgisayar)	Tam oturumlar, başlıklar, şifresizse yükler, TLS SNI ve sertifika bilgileri	Yakalama noktasını, arabirimi, filtreyi, başlangıç/bitişi, düşen paket sayısını ve dosya hash değerini kaydedin.
Akış kayıtları ve güvenlik duvarı günlükleri	Kim kiminle, ne zaman, portlar, bayt sayıları; içerik yok	Örnekleme (ör. 1000'de 1) ve etkin zaman aşımıyla bölme, 'akışın' anlamını değiştirir; dışa aktarıcı yapılandırmasını okuyun.
DHCP ve DNS sunucu günlükleri	Adres-MAC kira geçmişi; istemci başına çözülen adlar	Kiralar örtüşür ve yenilenir; modern istemcilerde MAC rastgeleleştirilebilir.
Proxy, web geçidi ve VPN yoğunlaştırıcı günlükleri	Kimliği doğrulanmış kullanıcı, URL ya da alan adı, bayt, zaman; VPN atanan adresler	Bunlar çoğu zaman bir adres yerine bir hesabı adlandıran tek kayıtlardır.
Genel adres için ISS ya da operatör kayıtları	CGNAT sınırları içinde, belirli bir zamanda genel adresin arkasındaki abone	Kaynak portu ve tam UTC zamanı olmadan CGNAT adresi birçok aboneye karşılık gelir.

Önce saatleri sabitleyin
Her günlük kaynağı için saat dilimini ve referansa göre sapmasını belirleyin (NTP durumu, iki cihazın gördüğü bilinen bir olay). Sapmaları cihaz başına kaydedin ve açıkça uygulayın.
Yakalama noktasını ve kör noktalarını tanımlayın
NAT arkasındaki yakalama özel adresleri, kenardaki yakalama çevrilmiş adresleri görür. Başka yollardan geçen ya da şifreli trafik 'yok' değil, görülmemiştir.
Önce oturumları kurun, sonra adresleri atfedin
TCP akışlarını yeniden birleştirip nesneleri çıkarın; ardından adresi, zamanlar hizalanmış olarak NAT tabloları, DHCP kiraları ve kimlik doğrulama günlükleri üzerinden geriye izleyin.
Aktarımları ölçün
Her sayı için günlük kaynağı belirtilmiş bir tabloda, yön, oturum ve hedef başına bayt sayıları.
Atfın nerede durduğunu belirtin
Adresten cihaza bir günlük zinciridir; cihazdan kişiye uç nokta ya da hesap kanıtı gerekir. İkisini ayrı yazın.

Bu alanın arkasındaki kütüphane kayıtları:

Genel bir IP adresi en iyi ihtimalle bir abone bağlantısını tanımlar; bir kişiyi, hatta tek bir cihazı değil.
IP coğrafi konum veri tabanları en iyi durumda şehir düzeyinde hata payı olan ticari tahminlerdir; konum kanıtı değildir.
Akış 'başlangıç' zamanları dışa aktarıcı önbelleğine bağlıdır; iki dışa aktarıcı aynı oturum için farklı zaman verir.
TLS içeriği gizler, üst veriyi değil; SNI ve sertifika yine görünür ve raporlanabilir.
Günlük saklama süresi kısadır; korumayı hemen talep edin ve zaten silinmiş olanı kaydedin.

Her günlük kaynağı; sahibi, saat dilimi, saat sapması, saklama süresi ve kapsadığı dönemle.
Her paket yakalaması için yakalama noktası, filtre ve düşen paket istatistikleri.
Atıf zincirini tablo olarak: genel adres ve port, NAT kaydı, özel adres, kira, cihaz, hesap; her halkanın zamanıyla.
Ağ kanıtının gösteremediklerinin (içerik, kişi) açık ifadesi.