TCP port dinleme meselesi (çoklu pot dinleme)

[orc_lord]

Bu arada WireShark ile mesela paket akışında kesinti olduğunda mail gönderimi yapılabiliyor mu?

[sharky]

Wireshark bir monitoring toolu değil.

[orc_lord]

Üstat sen daha iyi bilirsin tabii ki çünkü işin içindesin :)

Yalnız Wireshark'ta network paket analizi yapmaya yarayan sniffer değil mi? Mesela belli bir port üzerinden sürekli paket alıp göndermesi gereken makineye kurup akış kesildiğinde bunu anlayıp gösterecek şekilde ayarlayabiliyorlar. Bunu bir adım daha öteye götürüp böyle durumlarda e-posta atmasını sağlatacak plug-in'i falan yok mudur yahu? 8-)

[sharky]

Bu tarz durumlarda yapılacak farklı şeyler var. Örneğin monitor edeceğin endpoint lerdeki servisler gerçekten çalışıyor mu gibi. Türlü türlü yöntemlerle yapılabilinir bu.

Aktif olarak networkü dinleyerek jitter/delay tarzı şeylere göre anomaly detection yapan sistemler de var, ya da yazılabilinir.

Eğer ki wireshark/tcpdump/tshark/etc. tarzı bir şeyle illa yapacaksan, protokol detayına inerek bir şey yapacaksın demektir. Örneğin DNS attacklarını engelleyen bir şey yazmıştım vaktinde findDnsAttacker (Github), incelemek için faydalı olabilir.

Bu tarz şeyler belirli bir süre çalıştırılarak, analiz yapılacak şeyler. 7/24 çalışacak şeyler değil :)

Bunun için özelleşmiş appliance lar, ya da özelleştirilmiş OS/Kernel/Application lar (bundle olarak) mevcut.