TCPDUMP ile Port Bazlı Trafik Yakalama: Nasıl ve Nereden Başlanmalı

tcpdump ile port bazlı trafik yakalama: pratik rehber

Girdiden başlamadan önce kısa bir hatırlatma: tcpdump, paketleri yakalayıp filtreleyebilen güçlü bir araçtır. Port bazlı yakalama, özellikle hangi servisin veya hangi uygulamanın yoğun olduğunu anlamak için temel bir adımdır.

• Temel mantık: tcpdump, pcap formatında paketleri yakalar ve BPF filtreleriyle istenen trafiği seçmenizi sağlar. Port bazlı filtreleme için genelde iki ana ifade kullanılır: TCP ve UDP trafiğini hedeflemek için port numarasıyla eşleşen kurallar. Örneğin, belirli bir portu dinlemek için tcpdump port 80 veya tcp port 80 ve udp port 53 gibi kombinasyonlar kullanılır.
• Basit örnekler:
  
  CÓDIGO Copiar

  1234
  tcpdump -i eth0 tcp port 80
  tcpdump -i eth0 udp port 53
  tcpdump -i eth0 tcp port 22 or udp port 53
  

  
  Bu komutlar sırasıyla HTTP trafiğini, DNS üzerinden UDP trafiğini ve SSH ile DNS’in karışık akışını yakalar. Ağınızda hangi arayüzün aktif olduğunu bilmiyorsanız -i parametresinden önce otomatik arayüz tespitini de kullanabilirsiniz.
• Yığılı trafik ve filtreleri daraltma: Belirli IP’lerden gelen veya hedeflenen portları izlemek isteyebilirsiniz. Örneğin, belirli bir kaynaktan gelen SSH trafiğini görmek için:
  
  CÓDIGO Copiar

  123
  tcpdump -i eth0 tcp src 192.0.2.100 and port 22
  tcpdump -i eth0 tcp dst port 22 and not src 192.0.2.100
  

  
  [Ayrıntı için: src ve dst, sırasıyla kaynak ve hedef IP/port bilgisini filtreler.]
• Paket sayısı ve zamanlayıcı: Çok sayıda paket geldiğinde yalnızca ilk N paket veya belirli bir süre içinde yakalamak isteyebilirsiniz.
  
  CÓDIGO Copiar

  123
  tcpdump -i eth0 tcp port 80 -c 100
  tcpdump -i eth0 tcp port 80 -G 60 -W 10 -w http_1min.pcap
  

  
  [-G 60] her 60 saniyede bir yeni dosya oluşturur, -W 10 ile maksimum 10 dosya üretir, -w ile çıktı dosyasını belirler.
• Çıktı filtreleri ve okunabilirlik: Sadece temel bilgilerle yetinmek yerine, çıktıyı daha az gürültülü hale getirmek için -nn -tttt -Q gibi seçeneklerle sayıların ve zaman damgalarının biçimini netleştirebilirsiniz.
  
  CÓDIGO Copiar

  12
  tcpdump -i eth0 tcp port 80 -nn -tttt -Q in
  

  
  [-nn] adresleri sayı olarak gösterir, -tttt okunabilir zaman damgası sağlar, -Q in ise gelen trafiği filtreler.
• Uzak hedefler veya kayıtlar: Uzaktaki bir ana makineyle ilgili trafiği toplarken, belirli bir port üstünde yoğunlaşmayı anlamak için hoplamaları da görmek faydalıdır.
  
  CÓDIGO Copiar

  123
  tcpdump -i eth0 tcp portrange 1000-2000
  tcpdump -i eth0 'tcp[13] & 0x02 != 0'  # SYN paketlerini yakalamak için
  

Kullanım İpuçları:

• Filtrelerinizde mantıksal operatörleri doğru kullanın; (and, or, not) yapısını net tutun.
• Üretim ortamında yoğun trafik varsa -w ile dosya kaydı yapıp -C ile dosya boyutunu sınırlayın.
• Paket veri içeriğini incelemek için -A (ASCII) veya -x (hex) seçeneklerini destekleyin, ama güvenlik politikalarına dikkat edin.

Sonuç olarak, port bazlı trafik yakalamada tcpdump, hem hızlı bir analiz için anlık gözlem sağlar hem de pcap dosyalar halinde ileri analizlere imkan verir. Sizin ağınızda hangi portlar en çok hangi protokolleri taşıyor, bu araçla nasıl netleşiyor? Bu konudaki deneyimleriniz ve kullandığınız daha ileri filtreler nelerdir?