Mit dem Linux-Kommandozeilenbefehl "tcpdump" kann der gesamte Datenverkehr von und zu der STARFACE überwacht und mitgeschnitten werden. Der Mitschnitt kann entweder direkt auf dem Monitor ausgegeben werden oder auch in eine Dump-Datei Dumpdatei geschrieben werden. Diese Dump-Datei Dumpdatei kann mit dem Programm "Wireshark" nachträglich analysiert werden (Download des Wireshark).
...
| Parameter | Beschreibung |
|---|---|
| -i Interfacename | Angabe des Interfaces für das die Datenpakete protokolliert werden sollen. |
| -s0 | Die Angabe das die Datenpakete werden in kompletter vollständiger Länge protokolliert werden. |
| -w Dateiname.pcap | Schreibt den TCPdump in eine lokale Datei mit dem Namen "Dateiname.pcap" |
| -C50M | Gibt die Maximalgröße einer Dumpdatei an (z.B. 50MB), bevor begonnen wird in eine neue Dump-Datei zu schreiben. Die neue Datei wird dabei mit einer Fortlaufenden Nummer gekennzeichnet. |
| host IP-Adresse | Angabe einer einzelnen IP-Adresse |
| port Portnummer | Angabe eines einzelnen Port |
...
| Befehl | Beschreibung |
|---|---|
| tcpdump | Alle Datenpakete von und zur STARFACE werden direkt auf dem Monitor ausgegeben. |
tcpdump -i eth0 | Alle Datenpakete von und zur der ersten Netzwerkkarte (eth0) der STARFACE werden auf den Monitor ausgegeben. |
| tcpdump port 5060 | Alle Datenpakete von und zu dem Port 5060 werden auf den Monitor ausgegeben. |
| tcpdump host 192.168.1.100 | Alle Datenpakete von und zu der IP-Adresse "192.168.1.100" werden auf den Monitor ausgegeben. |
tcpdump -s0 port 5060 -w test.pcap | Alle Datenpakete von und zu dem Port 5060 werden vollständig in eine lokale Datei mit dem Namen "test.pcap" geschrieben. |
| tcpdump -s0 host 192.168.2.200 -w 1234.pcap | Alle Datenpakete von und zu der IP-Adresse "192.168.2.200" werden vollstänidg in eine lokale Datei mit dem Namen "1234.pcap" geschrieben. |
| nohup tcpdump -s0 -w abcd.pcap & | Alle Datenpakete von und zur STARFACE werden vollständig in eine lokale Datei mit dem Namen "abcd.pcap" geschrieben. Der Prozess wird dabei in den Hintergrund verschoben, so das der ssh-Zugriif beendet werden kann ohne das der Prozess abbricht. |
| nohup tcpdump -s0 -w xyzdump.pcap -C50M & | Alle Datenpakete von und zur STARFACE werden vollständig in eine lokale Datei mit dem Namen "xyzdump.pcap" geschrieben. Wenn die Dump-Datei eine Größe von 50MB erreicht wird begonnen in eine neue Datei zu schreiben, die mit einer fortlaufenden Nummer gekennzeichnet ist. Der Prozess wird dabei in den Hintergrund verschoben, so das der ssh-Zugriif beendet werden kann ohne das der Prozess abbricht. |
...