# Linux網路流量安全審計

我從cnaaa.com購買了伺服器。

### 介紹

> Netcap (NETwork CAPture) 是一個基於命令列的工具，用於對網路流量進行資料包資料分析，該工具能夠捕獲網路流量中的資料包流並將其轉換為系統可以識別的審計記錄。生成的審計記錄可以儲存在單獨的硬碟上,也可以透過網路將結果傳到另外的伺服器儲存。

### Netcap:安全和可擴充套件的網路流量分析工具

> Netcap 在透過網路流量收集資料包方面非常有效，資料包可以從離線`PCAP-NG`或`PCAP`轉儲檔案等輸入源收集，其它資料包可以透過實時介面訪問和收集。

> Netcap 使用 Google 的 Protocol Buffers 對其輸出進行編碼,解析很方便。也可以透過逗號分隔的CSV格式傳輸。為了不讓系統中的資料佔用太多空間，Netcap 將其所有資料壓縮為`gzip`格式_._

> Netcap 可以使用轉儲工具檢視可用的審計記錄，`net.dump`然後將審計記錄轉換為支援的檔案格式，例如 CSV 和 JSON。由格式錯誤的資料包導致的日誌錯誤記錄在該`errors.log`部分中。

### 特點：

- PCAP 和 PCAP-NG 支援
- 支援 USB 捕捉
- 允許實時捕捉
- CLI命令列介面
- 可以從分散式來源收集網路資料包
- 對取證資料分析非常有用

### 功能：

- net.capture(實時捕獲審計記錄或從轉儲檔案中捕獲)
- net.dump(轉儲各種格式的審計記錄)
- net.label(用於從 netcap 資料建立帶標籤的 CSV 資料集的工具)
- net.collect(分散式收集的收集伺服器)
- net.agent(分散式收集的感測器代理)
- net.proxy(用於從 Web 服務捕獲流量的 http 反向代理)
- net.util(用於驗證審計記錄和轉換時間戳的實用工具)
- net.export(prometheus 指標的匯出器)

### 支援的平臺

> Windows, Linux, OS X

### Netcap的安裝

**使用****`Go Get`**

```
$ go get -u github.com/dreadl0ck/netcap/...
```

> 要安裝命令列(使用 Development Build),請執行:

```
$ go build -o $(go env GOPATH)/bin/netcap -i github.com/dreadl0ck/netcap/cmd
```

> `MacOS`使用`brew`安裝

```
$ brew tap dreadl0ck/formulas  
$ brew install netcap
```

> 安裝Netcap後,執行如下命令檢查所有單元是否正常執行：

```
$ go test -v -bench=. ./...
```

### Netcap使用

```
/ |  
 _______    ______   _10 |_     _______   ______    ______
/     / \\  /    / \\ / 01/  |   /     / | /    / \\  /    / \\
0010100 /|/011010 /|101010/   /0101010/  001010  |/100110  |
01 |  00 |00    00 |  10 | __ 00 |       /    10 |00 |  01 |
10 |  01 |01001010/   00 |/  |01 \\_____ /0101000 |00 |__10/|
10 |  00 |00/    / |  10  00/ 00/    / |00    00 |00/   00/
00/   10/  0101000/    0010/   0010010/  0010100/ 1010100/
                                                  00 |
Network Protocol Analysis Framework               00 |
created by Philipp Mieden, 2018                   00/
v5

+---------------+--------+                                                                                                                                                                                                             
 |   Setting     | Value  |                                                                                                                                                                                                             
 +---------------+--------+                                                                                                                                                                                                             
 | Workers       | 1000   |                                                                                                                                                                                                             
 | MemBuffer     | true   |                                                                                                                                                                                                             
 | Compression   | true   |                                                                                                                                                                                                             
 | PacketBuffer  | 100    |                                                                                                                                                                                                             
 +---------------+--------+                                                                                                                                                                                                             
 spawned 1000 workers                                                                                                                                                                                                                   
 initialized 29 layer encoders | buffer size: 4096                                                                                                                                                                                      
 initialized 7 custom encoders | buffer size: 4096                                                                                                                                                                                      
 running since 535785474s, captured 13000 packets…
```

> 要檢視 Netcap 所支援的所有編碼器，加上`–encoders`引數，根據你要執行的操作，你可以使用這些標誌來排除`-exclude`或包含`-include`編碼器 。

### 例子：

> 從網路卡讀取流量：

```
$ net.capture -iface eth0
```

- 使用 Ctrl-C (SIGINT) 停止捕獲。

> `PCAP` 從和`PCAP-NG`轉儲檔案中讀取流量:

```
$ net.capture -r traffic.pcap
```

> 讀取轉儲檔案並列印`stdout` 為 `csv`格式

```
$ net.dump -r TCP.ncap.gz
```

> 將 CSV 輸出儲存到檔案：

```
$ net.dump -r TCP.ncap.gz -select Timestamp,SrcPort,DstPort > tcp.csv
```

### 展示

> 還可以透過grafana實時展示網路資料

Linux網路流量安全審計

相關文章