Ένα PCAP μπορεί να περιέχει τεχνικά αλλά και προσωπικά δεδομένα

Χρησιμοποίησε συνθετική καταγραφή

Φτιάξε μικρή σύνδεση client/server σε δικό σου εργαστήριο ή πάρε εκπαιδευτικό capture με άδεια χρήσης. Τα πακέτα μπορούν να αποκαλύπτουν IP, hostnames, tokens και στοιχεία συνεδρίας. Μην ανεβάζεις raw capture πελατών ή εταιρίας σε δημόσιες υπηρεσίες χωρίς έγκριση. Σημείωσε time zone, interface και αν η συλλογή είχε περιορισμένο μήκος ανά packet.

capinfos training.pcapng 2>/dev/null || true
tshark -r training.pcapng -q -z conv,tcp
tshark -r training.pcapng -Y 'dns' -T fields -e frame.time_epoch -e dns.qry.name

Εξέτασε πραγματική ροή, όχι μόνο πόρτα

Μία TCP σύνδεση μπορεί να χρησιμοποιεί απρόσμενο πρωτόκολλο. Η πόρτα 443 υποδεικνύει συνήθως HTTPS/TLS, δεν το αποδεικνύει. Έλεγξε dissector, handshake, χρονισμό και ορατότητα payload. Το TLS περιορίζει όσα μπορείς να μάθεις για το περιεχόμενο. Η απώλεια πακέτων στη σύλληψη μπορεί να δημιουργεί λανθασμένη εικόνα για retransmissions.

Παράδειγμα: έφταιγε το DNS;

Αν είναι ορατά, αντιστοίχισε DNS query και response του client και σύγκρινε την ώρα με την επόμενη απόπειρα σύνδεσης. Ανεπιτυχής επίλυση μπορεί να οδηγήσει σε απουσία TCP σύνδεσης. Ολοκληρωμένο DNS και στη συνέχεια επαναλαμβανόμενα SYN υποδεικνύουν άλλη αιτία. Μη συγχέεις relative timestamps με την ώρα του συστήματος.

Τι περιλαμβάνει η αναφορά

Σημείωσε display filters, συγκεκριμένα frames, περιορισμούς του capture και στοιχεία endpoints αφού αφαιρέσεις όσα δεν πρέπει να κοινοποιηθούν. Τα φίλτρα προβολής βοηθούν στην αναζήτηση· δεν αποδεικνύουν ότι τα κρυμμένα πακέτα δεν υπήρχαν.

Σειρά καταγραφής, ακολουθία πρωτοκόλλου και κενά παρατήρησης

Οι χρόνοι πακέτων περιγράφουν παρατήρηση στο σημείο καταγραφής και όχι καθολική σειρά συμβάντων μεταξύ hosts. Απόκλιση ρολογιού, buffering, επαναμετάδοση και απώλεια αλλάζουν την εικόνα. Διατήρησε αρχικούς δείκτες και μεταδεδομένα στη χρονογραμμή.

Απούσα απόκριση σε μία καταγραφή αποδεικνύει μη παρατήρηση εκεί, όχι ότι η απομακρυσμένη εφαρμογή δεν απάντησε ποτέ. Το δείγμα συγχωνεύει συνθετικές παρατηρήσεις κρατώντας πηγή ώστε ίσοι χρόνοι να εξηγούνται.

observations=[{"time":10,"source":"left","packet":2},
              {"time":9,"source":"right","packet":1},
              {"time":10,"source":"left","packet":1}]
timeline=sorted(observations,key=lambda r:(r["time"],r["source"],r["packet"]))
assert [(r["source"],r["packet"]) for r in timeline] == [("right",1),("left",1),("left",2)]
assert len(timeline) == len(observations)
print(timeline)

Το κριτήριο ισοπαλίας δίνει σταθερή εμφάνιση, όχι αιτιώδη σειρά. Σε πραγματικά στοιχεία κατάγραψε διεπαφή, χρονική ανάλυση, μετρητές απωλειών και διορθώσεις ρολογιού. Κατέγραψε μόνο εξουσιοδοτημένη κίνηση και αφαίρεσε αναγνωριστικά από εκπαιδευτικά παραδείγματα.

Τεχνική αναφορά