tcpdump - टीसीपी कनेक्शन समय/अवधि के आधार पर फ़िल्टर करने के लिए कैसे करें

Question

क्या टीसीपी कनेक्शन समय (कनेक्शन अवधि) के आधार पर टीसीपीडम्प (लाइव या डंप बनाने के बाद) फ़िल्टर करने की संभावना है?

मैं http जेसन आरपीसी यातायात रिकॉर्ड कर रहा हूं। मैं केवल उन कनेक्शन को रिकॉर्ड करना चाहता हूं जो 1000 एमएस कहने से अधिक लंबे हैं।

वायरसहार्क में मेनू-> सांख्यिकी-> वार्तालाप (टीसीपी टैब) में उपकरण है और वहां मैं "अवधि" द्वारा क्रमबद्ध कर सकता हूं। लेकिन मैं पहले (लंबे समय तक कनेक्शन) रिकॉर्ड करना चाहता हूं (वायरसहार्क में नहीं)।

tcpdump -i eth0 port 80 and connectionTime>1000ms -w data.pcap 

या रिकॉर्डिंग के बाद:

cat data.pcap | SOMETOOL -connectionTime>1000ms > dataLongConnections.pcap 

SOMETOOL फ़ॉर्मेट करने के लिए कि Wireshark समझ जाएगा फ़िल्टर किए गए डेटा निर्यात करना होगा

छद्म आदेशों में मैं कुछ इस तरह करना चाहते हैं। फ़िल्टरिंग के बाद मैं वायरसहार्क में उस डेटा का विश्लेषण करना चाहता हूं।

मैं यह कैसे कर सकता हूं?

Answer 1

आप बजाय स्तर पैकेट स्तर प्रवाह पर अपने यातायात पर विचार करने की जरूरत है।

यदि आपने NetFlow के साथ काम किया है तो आप अवधि के अनुसार प्रवाह फ़िल्टर करने के लिए flow-tools और flow-nfilter का उपयोग कर सकते हैं। तो आप convert your pcap to NetFlow कर सकते हैं और बाद में इसे फ़िल्टर कर सकते हैं।

दोष यह है कि आउटपुट पर आपको नेटफ्लो मिलता है, पीसीएपी नहीं। कुछ आंकड़ों के निर्माण के लिए यह पर्याप्त है, लेकिन पैकेट की जांच करने के लिए - निश्चित रूप से नहीं।

आप पाइथन (आसान तरीका) में libpcap सी (हार्ड वे) या scapy के साथ अपना स्वयं का टूल भी बना सकते हैं। बाद वाला विकल्प बहुत मुश्किल नहीं होना चाहिए (बशर्ते आप पाइथन के साथ काम करें)

Answer 2

SplitCap आपके लिए काम कर सकता है। यह प्रत्येक टीसीपी/यूडीपी सत्र के लिए पीसीएपी इनपुट और आउटपुट अलग पीसीएपी के रूप में ले जाएगा। विभाजन के बाद आप रोचक लोगों को आउटपुट पीसीएपी से फ़िल्टर कर सकते हैं।