آشنایی با ابزار TCPdump و کاربرد های آن

TCPdump یک ابزار قدرتمند و کاربردی برای تحلیل ترافیک شبکه در لحظه است که به مدیران و متخصصان امنیت کمک می‌کند تا به سادگی مشکلات شبکه را شناسایی و برطرف کنند. ابزار TCPdump با امکان فیلتر کردن و ثبت بسته‌های مشخص بر اساس معیارهای مختلف، در زمینه‌هایی مثل شناسایی گلوگاه‌های شبکه، حل مشکلات سرویس‌ها و شناسایی تهدیدات امنیتی بسیار موثر است و فرقی نمی‌کند که سیستم عامل لینوکس، macOS یا ویندوز باشد. با یادگیری نحوه نصب و استفاده از TCPdump، می‌توان به درک عمیق‌تری از عملکرد شبکه دست یافت.

ابزار TCPdump چیست؟

TCPdump یک ابزار خط فرمان (command-line) قدرتمند برای تحلیل بسته‌های شبکه است که با ثبت و مشاهده ترافیک به صورت لحظه‌ای، جهت درک بهتر رفتار شبکه کاربرد دارد. این ابزار بسته‌هایی که از رابط شبکه عبور می‌کنند را رهگیری کرده و امکان بررسی جزئیات هر بسته و تحلیل ارتباطات میان دستگاه‌ها را فراهم می‌کند. چنین دیدگاهی برای رفع مشکلات شبکه، انجام ممیزی‌های امنیتی و تحلیل عملکرد شبکه بسیار حیاتی است.
TCPdump در ابتدا برای سیستم‌عامل‌های مبتنی بر یونیکس، مانند لینوکس و macOS طراحی شده بود اما اکنون نسخه‌ای سازگار با ویندوز به نام WinDump نیز در دسترس است. این ابزار به کاربران اجازه می‌دهد تا بسته‌ها را بر اساس میزبان، پروتکل، پورت و سایر معیارها فیلتر کنند که این ویژگی برای عیب‌یابی دقیق و تحلیل جزئیات شبکه بسیار مفید است. برای مدیران شبکه، تحلیلگران امنیتی و متخصصان، TCPdump ابزاری بی‌نظیر جهت نظارت، تحلیل و درک فعالیت‌های شبکه خواهد بود.

تصویر(۱)

نقش TCP در ابزار TCPdump

اصطلاح “TCP” در TCPdump به پروتکل کنترل انتقال (Transmission Control Protocol) اشاره دارد که یکی از پروتکل‌های اصلی مجموعه پروتکل‌های اینترنت است. TCP ارتباطی مطمئن و مبتنی بر اتصال بین دستگاه‌ها فراهم می‌کند و اطمینان می‌دهد که بسته‌های داده به ترتیب صحیح و بدون خطا تحویل داده می‌شوند. این فرآیند از طریق یک handshake آغاز می‌شود که اتصال بین فرستنده و گیرنده را برقرار کرده و بسته‌ها را مرتب می‌کند تا یکپارچگی داده‌ها حفظ شود و در صورت گم شدن یک بسته، آن را مجدداً ارسال می‌نماید.
اگرچه ابزار TCPdump با تمرکز بر ترافیک TCP طراحی شده است اما قابلیت تحلیل سایر پروتکل‌ها مانند UDP (پروتکل دیتاگرام کاربر) و ICMP (پروتکل پیام‌های کنترل اینترنت) را نیز دارد. تأکید این ابزار روی TCP، به کاربران امکان می‌دهد تا ارتباطات مبتنی بر این پروتکل را به طور مؤثر نظارت و عیب‌یابی کنند، از جمله مشکلاتی مانند اتصالات ناموفق یا تاخیر بالا که برای پایداری و عملکرد شبکه حیاتی هستند.

تصویر(۲)

چرا باید از ابزار TCPdump استفاده کرد؟

با استفاده از این تحلیلگر بسته شبکه، موارد زیر را می توانید به طور موثر انجام دهید:

1. شناسایی گلوگاه‌های شبکه: با استفاده از دستور TCPdump ترافیک را پایش کرده و علت اصلی کندی شبکه را بیابید.
2. تشخیص تهدیدات امنیتی: فعالیت‌های غیرعادی شبکه مانند port scanning (اسکن پورت) یا حملات DDoS را شناسایی نمایید.
3. تحلیل عملکرد شبکه: با بررسی ترافیک، اطمینان حاصل کنید که سیستم‌ها طبق انتظار عمل می‌کنند.
4. عیب‌یابی سرویس‌های شبکه: ترافیک مرتبط با پروتکل‌های خاص (مثل HTTP، DNS، SMTP) را تحلیل کرده و مشکلات مربوط به خدماتی مانند وب‌سایت‌ها، ایمیل یا سرورهای نام دامنه (domain name servers) را رفع کنید.

برای هرکسی که مسئول نگهداری یک شبکه است، TCPdump ابزاری ضروری به شمار می‌رود اما ابتدا باید اصول نصب و استفاده از آن را یاد بگیرید.

نصب TCPdump

ابزار TCPdump درون بیشتر سیستم‌های شبیه یونیکس، از جمله لینوکس و macOS در دسترس است و نسخه مشابهی به نام WinDump نیز برای ویندوز وجود دارد. روش نصب آن به این صورت است:

نصب TCPdump در لینوکس:

در اکثر توزیع‌های لینوکس، ابزار TCPdump از پیش نصب شده اما اگر نصب نشده باشد می‌توان آن را با استفاده از یک package manager نصب کرد:

Debian/Ubuntu: sudo apt-get install tcpdump 
Red Hat/CentOS: sudo yum install tcpdump

نصب TCPdump در macOS:

سیستم‌عامل macOS نیز به طور پیش‌فرض TCPdump را در خود دارد. برای نصب نسخه بروز، می‌توان از Homebrew استفاده کرد:

brew install tcpdump

نصب WinDump در ویندوز:

برای استفاده از TCPdump در ویندوز، باید WinDump را نصب کنید که عملکرد مشابهی دارد. همچنین نیاز است WinPcap یا Npcap را نصب کنید که قابلیت‌های لازم برای ثبت بسته‌ها را فراهم می‌کند.

ساختار اولیه و گزینه‌های کلیدی TCPdump

برای استفاده از ابزار TCPdump، درک ساختار پایه دستورات آن ضروری است. ساختار کلی دستور TCPdump به شکل زیر می باشد:

tcpdump [options] [filter expression]

گزینه‌های رایج

• <i <interface-: رابط شبکه‌ای که قرار است بسته‌ها از آن ثبت شوند را مشخص می‌کند (مثل eth0 یا wlan0). اگر مشخص نشود، TCPdump به طور پیش‌فرض از اولین رابط موجود استفاده می‌کند.
• n-: نام میزبان‌ها را تبدیل نمی‌کند و به جای آن آدرس‌های IP را نمایش می‌دهد. این گزینه برای کاهش تاخیر خروجی مفید است.
• <c <count-: حداکثر تعداد بسته‌هایی که باید ثبت شوند را تعیین می‌کند. به عنوان مثال، c 100- پس از ثبت ۱۰۰ بسته متوقف می‌شود.
• <w <filename-: بسته‌های ثبت‌شده را در یک فایل با فرمت pcap. ذخیره می‌کند که برای تحلیل بیشتر، با ابزارهایی مثل Wireshark قابل استفاده است.
• <r <filename-: بسته‌ها را از یک فایل pcap. ذخیره‌شده می‌خواند و تحلیل می‌کند.

نمونه دستور TCPdump:

برای دریافت ۱۰۰ بسته در رابط شبکه eth0 بدون ترجمه DNS:

sudo tcpdump -i eth0 -n -c 100

این دستور ۱۰۰ بسته را از رابط شبکه eth0 دریافت کرده و آدرس‌های IP را به جای نام میزبان (hostname) نمایش می‌دهد.

درک خروجی ابزار TCPdump

هنگام اجرای این ابزار، خروجی ممکن است پیچیده به نظر برسد. هر بسته دریافت شده شامل اطلاعات زیر است:

1. زمان ثبت (Timestamp): زمان دقیق ثبت بسته را نشان می‌دهد که برای شناسایی ترتیب و زمان‌بندی رویدادها مفید است.
2. آدرس‌های IP منبع و مقصد: فرستنده و گیرنده بسته را مشخص می‌کند و دستگاه‌های در حال تبادل اطلاعات را نشان می‌دهد.
3. پروتکل: پروتکل مورد استفاده بسته (مانند TCP، UDP، ICMP) را مشخص می‌کند و می‌تواند برای فیلتر کردن پروتکل‌های خاص مفید باشد.
4. پرچم‌ها (Flags): پرچم‌های TCP مثل SYN، ACK، FIN و RST اطلاعاتی در مورد وضعیت اتصال TCP ارائه می‌دهند: 
   • SYN: آغاز یک اتصال
   • ACK: تأیید دریافت داده
   • FIN: پایان یک اتصال

تصویر(۳)

5. شماره پورت‌ها: پورت‌های مبدأ و مقصد را نشان می‌دهد که خدمات درگیر را مشخص می‌کند (مثل HTTP روی پورت ۸۰ و استفاده DNS از پورت ۵۳)
6. Payload Data یا داده‌های اصلی: ابزار TCPdump داده‌های بسته را به صورت هگزادسیمال و ASCII نمایش می‌دهد که مخصوصا برای عیب‌یابی پروتکل‌ها مفید است.

درک هر بخش از این خروجی به شما کمک می‌کند تا آمار کاملی از ترافیک ثبت‌شده داشته باشید و رفتار عادی و غیرعادی شبکه را شناسایی کنید.

فیلتر کردن در TCPdump

جهت مدیریت حجم بالای داده‌های شبکه، فیلتر کردن بسته‌ها ضروری است. ابزار TCPdump امکانات گسترده‌ای برای اعمال فیلترهای ساده و پیشرفته ارائه می‌دهد که امکان تمرکز بر ترافیک مرتبط را فراهم می‌کند و تحلیل داده‌ها را کارآمدتر می‌سازد.

فیلترهای پایه شامل موارد زیر می شود:

• فیلتر میزبان (Host Filtering): تبادل بسته‌ها به یا از یک IP خاص.

tcpdump host 192.168.1.1

• فیلتر شبکه (Network Filtering): ثبت ترافیک مربوط به یک زیرشبکه خاص با استفاده از نشانه‌گذاری CIDR.

tcpdump net 192.168.1.0/24

•  فیلتر پورت (Port Filtering): ثبت بسته‌هایی که از یک پورت خاص عبور می‌کنند، مانند پورت ۸۰ برای HTTP.

tcpdump port 80

فیلترهای پیشرفته با دستور tcpdump 

TCPdump از ترکیب شرایط پیچیده توسط دستورهای فیلترینگ برکلی (BPF) پشتیبانی می‌کند و امکان تحلیل دقیق‌تر را فراهم می‌سازد.

• فیلتر پروتکل و IP خاص: دریافت ترافیک TCP از یک آدرس IP مشخص.

tcpdump tcp and host 192.168.1.1

• فیلتر چندین پورت: دریافت بسته‌ها روی چندین پورت، مانند HTTP (پورت ۸۰) و HTTPS (پورت ۴۴۳).

tcpdump 'tcp and (port 80 or port 443)'

• حذف ترافیک خاص: دریافت تمام بسته‌ها به جز بسته‌های مرتبط با یک IP خاص.

tcpdump not host 10.0.0.5

این فیلترها به کاربران امکان می‌دهند ترافیک غیرضروری را حذف کرده و فقط روی بسته‌های مرتبط تمرکز کنند.

استفاده پیشرفته از ابزار TCPdump

برای تجزیه و تحلیل دقیق تر، TCPdump گزینه های پیشرفته ای را ارائه می دهد.

ثبت ترافیک HTTP

برای ثبت ترافیک HTTP روی پورت ۸۰:

sudo tcpdump -i eth0 tcp port 80 -A

گزینه A- محتوای بسته‌ها را به صورت ASCII نمایش می‌دهد که خواندن پروتکل‌های متنی مانند HTTP را آسان‌تر می‌کند.

ثبت ترافیک DNS

پورت ۵۳ در UDP جهت ارسال درخواست‌های DNS استفاده می‌شود. برای دریافت بسته‌های مربوط به DNS، دستور زیر کاربرد دارد:

sudo tcpdump -i eth0 udp port 53

ردیابی استریم های TCP

استریم های TCP برای ردیابی روند سشن های TCP مفید هستند. مثال زیر یک سشن کامل TCP بین کلاینت و سرور را ثبت می‌کند:

sudo tcpdump -i eth0 -w tcp-session.pcap 'tcp'

با استفاده از ابزار Wireshark می‌توانید فایل pcap. ذخیره‌شده را باز کرده و استریم های TCP را به راحتی ردیابی کنید.

ذخیره بسته‌های ثبت‌شده

برای ذخیره بسته‌ها در یک فایل با فرمت pcap. جهت تحلیل‌های بعدی، دستور زیر کاربرد دارد:

sudo tcpdump -i eth0 -w capture.pcap

جهت تحلیل داده‌های ذخیره‌شده، از گزینه r- برای خواندن فایل pcap. استفاده کنید:

tcpdump -r capture.pcap

این امکانات پیشرفته، به کاربران اجازه می‌دهد تحلیل‌های دقیق‌تری انجام دهند و ترافیک شبکه را بهینه‌تر بررسی کنند.

تصویر(۴)

موارد استفاده از TCPdump

در ادامه برخی از کاربردها و موارد استفاده از TCPdump ذکر شده است.

عیب‌یابی شبکه

در مواقعی که عملکرد یک سرویس خاص کند شده است، می‌توان از ابزار TCPdump برای ثبت بسته‌ها و تحلیل مشکلات احتمالی استفاده کرد:

• شناسایی ارتباطات کند: بسته‌ها را ثبت کنید تا ارتباطاتی که زمان زیادی برای پاسخ‌دهی می‌گیرند یا دچار تایم‌اوت می‌شوند را بیابید.
• ردیابی HandSHake های ناموفق: می توانید بسته‌های SYN بدون پاسخ ACK را شناسایی کنید که نشان‌دهنده اتصالات ناموفق هستند.

پایش امنیتی

ابزار TCPdump نه‌تنها جهت تحلیل شبکه بلکه در زمینه امنیت نیز بسیار کاربردی است. می‌توان از آن برای تشخیص موارد زیر استفاده کرد:

• الگوهای غیرعادی ترافیک: نظارت بر ترافیک غیرعادی جهت شناسایی حملاتی مانند Port Scanning یا حملات DDoS.
• اتصالات مخرب: شناسایی ارتباطات IP های مشکوک از طریق ثبت بسته‌های خروجی و تطبیق آنها با لیست سیاه.

نتیجه‌گیری

در این مقاله تلاش شد تا چگونگی نصب و استفاده از ابزار TCPdump توضیح داده شود. با توانایی‌های بالا در ثبت و فیلتر کردن بسته‌ها، TCPdump به عنوان ابزاری ضروری برای هر شخصی که قصد نظارت، عیب‌یابی یا تأمین امنیت شبکه را دارد، مطرح می شود. از رفع کندی در اتصالات گرفته تا شناسایی تهدیدات امنیتی، این ابزار تصویر شفافی درباره ترافیک شبکه ارائه می‌دهد و کمک می‌کند پیش از وقوع مشکلات، آنها را شناسایی و رفع کنید. درک عملکردهای اصلی TCPdump به شما این امکان را می‌دهد که به طور کامل تحلیل و مدیریت شبکه را در دست بگیرید.