AG Test: ag denetimi

<div style="text-align: justify;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgJcKDwe5E3jOFzGnDZSC2SRmQ674pzZcg5YqcBZJSfdOXAKBKTRGnSanHfCSBRDxXR45xnZSQptMercN_j5U9PSYdJD7xMCSFEUfpv64SE3GJvkZyZmNY28s6K8bEQJkPRdNQb2Ij3N7Y2/s1600/tcpdump.png" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" height="158" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgJcKDwe5E3jOFzGnDZSC2SRmQ674pzZcg5YqcBZJSfdOXAKBKTRGnSanHfCSBRDxXR45xnZSQptMercN_j5U9PSYdJD7xMCSFEUfpv64SE3GJvkZyZmNY28s6K8bEQJkPRdNQb2Ij3N7Y2/s200/tcpdump.png" width="200" /></a>Bu yazıda ağ trafiği analizi için kullanılabilecek bir çok ücretli/ücretsiz araç olmasına rağmen defacto olarak nitelendirilebilecek <b>tcpdump </b>aracı ile temel ağ trafiği analizinin nasıl gerçekleştirilebileceğine değinilecektir.<br />Analiz yöntemlerinin temelinde <b>pcap </b>verisi yer almaktadır. 1987 yılında <i>Lawrence Berkeley National Laboratory</i> tarafından ortaya konulan bu format, bir çok farklı ağ tabanlı uygulama tarafından okunabilmekte/yazılabilmektedir.<br /><br /><a name="more"></a></div><div style="text-align: justify;">Sistem üzerinde tcpdump bulunmuyorsa </div><h4># apt-get install tcpdump</h4><div style="text-align: justify;">komutu ile kurulum gerçekleştirilebilir.</div><div style="text-align: justify;"><span style="text-align: start;">Tcpdump çıktısının temel olarak yapısı aşağıdaki gibidir:</span><br /><h2 style="text-align: start;"><span style="font-size: small;">[zaman_damgası] [protokol] [kaynak IP].[kaynak port] > [hedef IP].[</span><span style="font-size: small;">hedef</span><span style="font-size: small;"> </span><span style="font-size: small;">port]</span></h2></div><div style="text-align: justify;"><b>-w </b>parametresi ile dosyaya yazmak için</div><h4># tcpdump -w kayit.pcap</h4><blockquote class="tr_bq"><span style="color: #990000;">Görsel gösterim için <a href="http://www.wireshark.org/" target="_blank">Wireshark</a>'tan yararlanılabilir.</span></blockquote><div>Pcap dosyası içindeki paket sayısını bulmak için:</div><h4># tcpdump -nn -r kayit.pcap | wc -l</h4><div><span style="text-align: justify;">I/O yönlendirme ile <b>cut </b>aracı ile dosya içerisindeki kaynak IP adresi ve portu aşağıdaki gibi süzülebilir:</span></div><h4 style="text-align: justify;"># tcpdump -nn -r kayit.pcap | cut -d " " -f3</h4><div style="text-align: justify;">Çıktıdan 2.katman trafiğini hariç tutmak için tcpdump'a protokol süzgeci girilebilir.</div><h4 style="text-align: justify;"># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3</h4><div>Port bilgisini de hariç tutarak sadece IP adresini görmek için</div><h4># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3 | cut -d "." -f1-4</h4><div style="text-align: justify;">Bu noktada sadece IP adreslerini süzmek için aşağıdaki gibi bir düzenli ifade ile <b>grep </b>komutu kullanılabilir:</div><h4>grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}'</h4><div style="text-align: justify;">Çıktıdaki birbirini tekrar eden kayıtları gözardı etmek ve sıralamak için <b>sort </b>ve <b>uniq </b>komutları kullanılabilir.</div><h4 style="text-align: justify;"># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3 | cut -d "." -f1-4 | sort | uniq</h4><div style="text-align: justify;"><blockquote class="tr_bq"><span style="color: #990000;"><b>sort </b>komutu <b>-u</b> parametresi ile <b>uniq</b>'in yaptığı işlevi görebilmektedir.</span></blockquote></div><div style="text-align: justify;">Belirlenen IP adreslerine dair kaç adet kayıt bulunduğunu görmek için <b>-c </b>parametresi ile <b>uniq </b>komutu çalıştırılır ve çıktı büyükten küçüğe tekrar sıralanır.</div><div><h4># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3 | cut -d "." -f1-4 | sort | uniq -c | sort -nr</h4><div><div style="text-align: justify;">Sadece bağlantı kurmaya çalışan (SYN bayrağı ayarlanmış) IP adreslerinin hedef aldığı portların belirlenmesi için <b>tcp[13]=2</b> filtresinden yararlanılabilir:</div></div><div><h4># tcpdump -nn -r kayit.pcap 'tcp[13]=2' | cut -d " " -f5 | cut -d "." -f5 | sort | uniq -c | sort -nr</h4></div><div style="text-align: justify;">SMTP, FTP, DNS gibi yükünü düz metin olarak ileten protokollerin içeriklerinin gösterimi için <b>-A </b>parametresi kullanılabilir.</div><h4># tcpdump -Ann -r kayit.pcap 'dst port 21 or dst port 25 or dst port 53 or dst port 80'</h4><div>Çıktı üzerinden istenilen içerik grep ile aranabilir. Örneğin 80.port süzüldükten sonra </div><h4>grep -Ei 'user-agent | sort | uniq -c | sort -nr | head 10</h4><div>komutuna yönlendirilirse en fazla GET isteğinde bulunan 10 User-Agent'ı görülebilir. </div><h2><span style="color: white; font-size: small;">Bazı sık kullanılan tcpdump filtreleri</span></h2><h4># tcpdump net 1.2.3.0/24<br /># tcpdump icmp<br /># tcpdump port 3389<br /># tcpdump udp and src port 53 //udp port 53 filtrele<br /># tcpdump 'src 10.0.2.4 and (dst port 3389 or 22)'<br /># tcpdump -ni eth1 -w file.cap not port 22<br /># tcpdump -ni eth1 -s 150 -c 10 not port 22<br /># tcpdump -r file.cap<br /># tcpdump -e -n not port 22            <span style="color: #cc0000;">//Ethernet başlığını görüntüle</span><br /></h4></div><blockquote class="tr_bq"><span style="color: #990000;">Tcpdump için faydalı bir cheatsheet <a href="http://media.packetlife.net/media/library/12/tcpdump.pdf" target="_blank">bağlantıdan</a> temin edilebilir.</span></blockquote>

Tcpdump ve Temel Linux Komutları ile Temel Ağ Trafiği Analizi

Bu yazıda ağ trafiği analizi için kullanılabilecek bir çok ücretli/ücretsiz araç olmasına rağmen defacto olarak nitelendirilebilecek tcpdump...