Czym różni się podstawowy tryb macOS od przechwytywania pakietów?

Tryb podstawowy widzi połączenia, czas i wolumeny; przechwytywanie pakietów odczytuje też nieszyfrowane pola uzgadniania TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS., których potrzebują niektóre funkcje. Na macOS agent działa w trybie podstawowym, który obserwuje połączenia Maca, na którym jest zainstalowany. To wystarcza do podstawowych wykryć, takich jak beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący. Przechwytywanie pakietów oznacza, że agent kopiuje same pakiety, by odczytać kilka pól protokołów, nadal niczego nie odszyfrowując. Jest dostępne tam, gdzie agent działa na Linuksie albo jako czujnik na porcie SPANSPAN: switch port analyser (port lustrzany). Ustawienie przełącznika, które wysyła kopię ruchu na jeden port, gdzie może go obserwować sensor. lub TAPTAP: test access point. Małe urządzenie, które kopiuje ruch z kabla sieciowego dla sensora.. Zależą od niego dwie funkcje: odcisk TLS od planu Starter, który rozpoznaje znane klienty malware po uzgadnianiu, oraz inwentarz kryptografii NQCI, aktywny od planu Pro, który pokazuje wymianę kluczy podatną na komputery kwantowe i hybrydową. Jeśli potrzebujesz którejś z nich, zaplanuj agenta na Linuksie lub czujnik na porcie lustrzanym.

← Wszystkie pytania (20): NetSenX: plany i wdrożenieWszystkie tematy