lcarr created page: Astuces/Linux/Surveillance réseau

+Surveillance powered by Linux

+=============================

+

+

+Un petit recensement de quelques utilitaires de surveillance de réseau utiles ou pas, ça dépend de vos besoins :)

+

+PS : Ne pas abuser de ces commandes a des fins malicieuses, les données des autres ne nous concernent pas !

+

+## tcpdump

+

+La commande la plus connue pour la capture de paquets par excellence. Par défaut la commande retourne tous les paquets qui passent sur le réseau (a savoir tout ce qui passe sur le switch d'un bâtiment par exemple).

+

+```

+23:28:09.542847 IP hwq.maisel.enst-bretagne.fr.netbios-ns > 172.16.255.255.netbios-ns: NBT UDP PACKET(137): QUERY; REQUEST; BROADCAST

+23:28:09.543616 IP wafer.maisel.enst-bretagne.fr.32786 > noboot.maisel.enst-bretagne.fr.domain: 34478+ PTR? 255.255.16.172.in-addr.arpa. (45)

+23:28:09.545736 IP noboot.maisel.enst-bretagne.fr.domain > wafer.maisel.enst-bretagne.fr.32786: 34478 NXDomain* 0/1/0 (126)

+23:28:09.546006 IP wafer.maisel.enst-bretagne.fr.32786 > noboot.maisel.enst-bretagne.fr.domain: 34479+ PTR? 152.25.16.172.in-addr.arpa. (44)

+```

+

+Un meilleur filtrage peut se faire avec les option -nq

+

+```

+23:28:55.520504 IP 172.16.25.152.137 > 172.16.255.255.137: UDP, length: 50

+23:28:55.575918 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408

+23:28:55.581726 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408

+23:28:55.632153 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 256

+```

+

+Un filtrage par protocole peut etre fait aussi exemple pour les connexions tcp

+

+```

+# tcpdump -nq tcp

+23:33:15.430157 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408

+23:33:15.486168 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408

+23:33:15.503876 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408

+23:33:15.543694 IP 64.236.34.4.5190 > 172.16.29.29.33388: tcp 1408

+23:33:15.543753 IP 172.16.29.29.33388 > 64.236.34.4.5190: tcp 0

+```

+

+`man tcpdump` pour toutes les options possibles et imaginables

+

+## Ethereal

+

+Big Brother de tcpdump mais avec une interface graphique qui permet de filtrer les captures de paquets suivant ce que l'utilisateur recherche. Plusieurs protocoles sont recenses et l'application permet de regarder les paquets un par un en détail pour les fous d'hexadecimal ou autre :)

+

+## ngrep

+

+Network Grep, assez violent sans aucune option mais très puissant comme outil

+

+```

+T 64.236.34.4:5190 -> 172.16.29.29:33388 [A]

+ 7=.,....4&l.8`0^.-. .I9m...<...].....]$..pd..B.J..)..(B;%,...ekll0i...r...J...V.}......".Vs.dc.=#..W.._...........Vu......kY.>.

+ .d....C...&..C.`..,..h].G....../<..?..R.b........%..3.i.(......+...EL...j..26.....Q,....3..Y..Q.....).....?,..0....~>pi.f...W..

+ ../....RK `....h.t..8.$G.......1>..4..[o...ZH.,.J.Cy`..Yr.....=#xB.+i:.%.......K...0$r..n.M.O,......rd.."}$_.&../............x.

+ ../| ..s...*.._|.l.bb..........]a.;.......................O.......U.iQ.).hz*K.$.~..f...(...s...x.....x........"..-.6....IH...>.

+ .{.a_...........M...U...@.YFNi.........h.Y.....{.=.\.a8.3........1l...]`1...........Al,.D...z.?......... .pa`#M....w..%J..T.I..

+ ...(..E...........m..9..t...%....pd...x5.i..r*..m."..H.}..ah..0t..2.+..&..r.S.....r?.dt[.#N......^.._R........{7o.`.@.`pJ....v.

+ ...............V..L2,L.GK.X"..idr.I0....~...B..9=.(y2U.f.0.....o.BZfg...I;Z.k~@V...oAJoh.lR$O.-.G.(....\NAIx|..................

+ I%.K..H.m.....].>..iEz~..........a.^E.J.m.@ ..H.p..F$..$].......y......&~.W,.y....H..D.j.)..rd....+.if.Z1..=."....s..e....4....

+ .B'.N.C...."..l6..[...h......&..HR.f4....r..0#aB....2q.........E8..R/.i[...J.f,..Bn8,,..C..'"$...x|dL..Q.#..c...7..wv..`..^E@..

+ .....%...V+:.KI5I.uX........=............#.5(../.x.Q....D.@.`sm.y0.....P.\....c^.....J).M.Z..m.{.......@M..D...........r<.@%$..

+ ..EBUr..../kDz....B.i....pd....%]...r- L-.b....}..ap...4`....f....'V.UUUc...a.........._)K.r........GS..d....../.. ....g...*.w.

+ .......g...

+##

+```

+

+On peut lui intégrer tout plein de filtres assez sympathiques et puissants, même des regex pour les fans !

+

+## potion

+

+Outil aussi sympathique qui capture tous les trafics passant sur le réseau et les tris dynamiquement suivant l'adresse IP source et destination avec des statistiques.

+

+```

+# potion eth0

+ÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÂÄÄÄÄÄÄÄÄÄÄÄÄÄÂÄÄÄÄ

+Source ³ Destination ³ Protocol ³ Avg Rate

+ÃÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÅÄÄÄÄÄÄÄÄÄÄÄÄÄÅÄÄÄÄÄÄÄÄ

+64.236.34.4:5190 ³ 172.16.29.29:33388 tcp ³ 105.2k

+192.108.115.2:8080 ³ 172.16.29.29:33639 tcp ³ 9.0k

+172.16.23.6:6767 ³ 172.16.29.29:33055 tcp ³ 2.4k

+172.16.29.29:33639 ³ 192.108.115.2:8080 tcp ³ 931.4

+172.16.23.159:68 ³ 255.255.255.255:67 udp ³ 684.0

+172.16.25.152:137 ³ 172.16.255.255:137 udp ³ 568.7

+172.16.23.254:68 ³ 255.255.255.255:67 udp ³ 364.8

+172.16.24.69:5353 ³ 224.0.0.251:5353 udp ³ 330.7

+172.16.29.29:33055 ³ 172.16.23.6:6767 tcp ³ 276.0

+```

+

+## scanssh

+

+Outil qui scanne des machines a la recherche de proxy ou de serveurs SSH ouverts

+

+## Nmap

+

+Scanneur de machines assez puissant, qui peut entre autre faire un listing des ports ouverts sur machine

+

+```

+#nmap localhost

+

+21/tcp open ftp

+22/tcp open ssh

+25/tcp open smtp

+80/tcp open http

+3306/tcp open mysql

+19150/tcp open gkrellmd

+```

+

+## lsof

+

+Une commande unix qui permet de voir quel programme utilise quel fichier ou quel port sur la machine locale.

+

+

+`lsof -i` donne la liste des programmes et des ports ouverts

+

+## netstat

+pour voir les connexions réseau ouvertes en local. Il y a plein de paramètres possibles, une des combinaisons assez simples à retenir est :

+

+```

+#netstat -taupe

+```