Packet দেখে বোঝা — নিজের network-এ tcpdump আর Wireshark

১ · আগে অনুমতি, তারপর capture

এই পর্বের সব packet ডেটা বানানো নমুনা। ঠিকানাগুলো documentation-এর জন্য সংরক্ষিত (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24), আর নামগুলো example.com-এর। কোনো আসল traffic ধরা হয়নি। চালানো যায় এমন কোডও শুধু লেখায় দেওয়া স্থির ডেটা পড়ে।

পোস্ট অফিসের কথা ভাবুন। প্রতিটি খামের ওপরে প্রেরক আর প্রাপকের ঠিকানা লেখা থাকে। ডাকঘরের রেজিস্টার খাতায় থাকে কোন খাম কখন এলো, ওজন কত। আর খামের ভেতরে থাকে চিঠি। Network-এর packet ঠিক এমন খাম। Packet capture মানে যা যাচ্ছে তার কপি রেখে দেওয়া, খাম আর চিঠি দুটোই। আপনি network-এর জিনিস আটকান না, শুধু কপি রাখেন।

কেন দরকার? কারণ log বলে software কী ভেবেছে, আর packet বলে তারে আসলে কী গেছে। App বলছে “server সাড়া দেয়নি”, firewall বলছে “কিছু আটকাইনি”। Capture দেখিয়ে দেবে কোন দাবি ঠিক। Protocol-এর ভিত্তি জানতে TCP সংযোগ, আর প্রথম পরিচয়ের জন্য network-এর টুল পর্বটি দেখতে পারেন। এখানে আমরা রক্ষকের চোখে পড়ব। Network-এর ঝুঁকি আগে দেখেছেন পর্ব ২১-এ, firewall-এর নিয়ম পর্ব ২২-এ, আর স্বয়ংক্রিয় detection পর্ব ২৩-এ। Capture সেগুলোর alert যাচাই করার হাতিয়ার।

কোথায় দাঁড়িয়ে দেখছেন, সেটিই ঠিক করে কী দেখবেন

Switch সাধারণত একটি frame শুধু প্রাপকের port-এ পাঠায়। তাই নিজের ল্যাপটপে capture করলে আপনি মূলত নিজের traffic-ই দেখবেন। Promiscuous mode চালু থাকলেও switch-এ এর বেশি কিছু আসে না। প্রতিষ্ঠানের নিরাপত্তা দল তাই নির্দিষ্ট জায়গায় SPAN port বা network TAP বসায়। দুটিই traffic-এর কপি একটি পর্যবেক্ষণ যন্ত্রে পাঠায়। SPAN চাপের সময় কিছু packet ফেলতে পারে। TAP বেশি নির্ভরযোগ্য, তবে যন্ত্র লাগে।

২ · tcpdump — নিজের host-এ ধরা আর পড়া

tcpdump হলো command line-এর সবচেয়ে প্রচলিত capture টুল। এটি ধরা packet সরাসরি পর্দায় দেখাতে পারে, অথবা pcap file-এ লিখতে পারে। সার্ভারে সাধারণত গ্রাফিক্যাল টুল থাকে না, তাই এটিই ভরসা।

নিচের কমান্ডটি নিজের host-এর জন্য একটি উদাহরণ, পাতায় চালানোর জন্য নয়। ধরে নিন 192.0.2.10 আপনার নিজের ল্যাপটপ। প্রতিটি অংশ কেন আছে, ধাপে ধাপে দেখুন। উদ্দেশ্য সব কুড়িয়ে নেওয়া নয়, ঠিক যতটুকু দরকার ততটুকু ধরা।

আরও কিছু কাজের কমান্ড নিচে আছে। সবই নিজের host বা নিজের file-এর জন্য।

# interface-এর তালিকা
sudo tcpdump -D

# নিজের host-এর DNS, ১০০ packet, সময়সহ পর্দায়
sudo tcpdump -i eth0 -n -c 100 'host 192.0.2.10 and udp port 53'

# SSH দিয়ে ঢুকে capture করলে নিজের SSH সংযোগ বাদ দিন
sudo tcpdump -i eth0 -n -c 200 'host 192.0.2.10 and not port 22'

# ফাইল পড়া: root লাগে না, absolute sequence number দেখায়
tcpdump -n -S -r own-host.pcap

# ফাইল থেকে শুধু যেসব packet-এ SYN বিট আছে
tcpdump -n -r own-host.pcap 'tcp[tcpflags] & tcp-syn != 0'

# ঘণ্টায় একটি file, ২৪টি হলে থামবে
sudo tcpdump -i eth0 -n -s 96 -G 3600 -W 24 \
     -w 'own-%H.pcap' 'host 192.0.2.10'

৩ · একটি header বাইট ধরে পড়া

টুল আমাদের হয়ে সব অনুবাদ করে দেয়। তবু একবার কাঁচা বাইট পড়া উচিত। তাহলে আপনি বুঝবেন টুল কোথা থেকে কথাগুলো বলছে। নিচে ৪০ byte-এর একটি নমুনা: ২০ byte IP header, ২০ byte TCP header. ছোট রাখতে TCP option বাদ দেওয়া হয়েছে, payload নেই। প্রতিটি সারি ৪ byte.

045 00 00 2841c 46 40 00840 06 20 2f12c0 00 02 0a16cb 00 71 5020c9 3a 01 bb2400 00 03 e82800 00 00 003250 02 fa f036e7 b8 00 00

একই কাজ কোড দিয়েও করা যায়। নিচের JavaScript একটি স্থির hex নমুনা পড়ে। কোনো network ছোঁয় না।

// Decode one fixed, invented IPv4 + TCP header (নমুনা). Nothing is captured.
const hex = `45 00 00 28 1c 46 40 00 40 06 20 2f c0 00 02 0a cb 00 71 50
             c9 3a 01 bb 00 00 03 e8 00 00 00 00 50 02 fa f0 e7 b8 00 00`;
const b = hex.trim().split(/\s+/).map(x => parseInt(x, 16));
const u16 = i => (b[i] << 8) | b[i + 1];
const u32 = i => u16(i) * 65536 + u16(i + 2);
const ip = i => b.slice(i, i + 4).join(".");

const ihl = (b[0] & 0x0f) * 4;           // header length in bytes
console.log("IP  version      :", b[0] >> 4);
console.log("IP  header length:", ihl, "bytes");
console.log("IP  total length :", u16(2), "bytes");
console.log("IP  DF flag      :", (b[6] & 0x40) ? "set" : "clear");
console.log("IP  TTL          :", b[8]);
console.log("IP  protocol     :", b[9], b[9] === 6 ? "(TCP)" : "(other)");
console.log("IP  source       :", ip(12));
console.log("IP  destination  :", ip(16));

// Internet checksum: over the header, the 16-bit sum folds to 0xffff if intact.
let sum = 0;
for (let i = 0; i < ihl; i += 2) sum += u16(i);
while (sum > 0xffff) sum = (sum & 0xffff) + (sum >>> 16);
console.log("IP  checksum ok  :", sum === 0xffff);

const t = ihl;                           // TCP starts right after the IP header
const names = ["FIN", "SYN", "RST", "PSH", "ACK", "URG"];
const flags = names.filter((n, i) => b[t + 13] & (1 << i));
console.log("TCP ports        :", u16(t), "->", u16(t + 2));
console.log("TCP seq / ack    :", u32(t + 4), "/", u32(t + 8));
console.log("TCP header length:", (b[t + 12] >> 4) * 4, "bytes");
console.log("TCP flags        :", flags.join(","));
console.log("TCP window       :", u16(t + 14));
console.log("Payload bytes    :", u16(2) - ihl - (b[t + 12] >> 4) * 4);

৪ · নমুনা পড়া — handshake, DNS, HTTP আর ClientHello

TCP handshake

Three-way handshake দুজনের ফোনালাপের শুরুর মতো: “শুনছেন?”, “শুনছি, আপনি শুনছেন?”, “শুনছি।” tcpdump -n -S এই আলাপ এভাবে দেখায়। [S] মানে SYN, আর . মানে ACK বিট জ্বলছে। Sequence-এর হিসাব দেখতে ধাপে ধাপে এগোন।

110:15:02.100 IP 192.0.2.10.51514 > 203.0.113.80.443: Flags [S], seq 1000, win 64240, length 0210:15:02.128 IP 203.0.113.80.443 > 192.0.2.10.51514: Flags [S.], seq 5000, ack 1001, win 65160, length 0310:15:02.129 IP 192.0.2.10.51514 > 203.0.113.80.443: Flags [.], ack 5001, win 502, length 0410:15:02.130 IP 192.0.2.10.51514 > 203.0.113.80.443: Flags [P.], seq 1001:1518, ack 5001, win 502, length 517510:15:02.158 IP 203.0.113.80.443 > 192.0.2.10.51514: Flags [.], ack 1518, win 501, length 0

DNS, HTTP আর ClientHello

একটি সংযোগের আগে সাধারণত DNS থাকে। নিচের ট্যাবগুলোয় তিনটি নমুনা আছে। সবগুলোই বানানো, নিজের ল্যাবের মতো করে সাজানো।

নমুনা
10:20:01.100 IP 192.0.2.10.40112 > 192.0.2.53.53: 31415+ A? shop.example.com. (34)
10:20:01.131 IP 192.0.2.53.53 > 192.0.2.10.40112: 31415 1/0/0 A 203.0.113.80 (50)

নমুনা · নিজের ল্যাবের HTTP, TCP stream
GET /health HTTP/1.1
Host: shop.example.com
User-Agent: lab-check/1.0
Accept: */*

HTTP/1.1 200 OK
Content-Type: text/plain
Content-Length: 2

ok

নমুনা · Wireshark-এর মতো গাছ আকারে
Transport Layer Security
  Handshake Type: Client Hello (1)
  Version: TLS 1.2 (0x0303)
  Cipher Suites (3 suites)
    TLS_AES_128_GCM_SHA256 (0x1301)
    TLS_AES_256_GCM_SHA384 (0x1302)
    TLS_CHACHA20_POLY1305_SHA256 (0x1303)
  Extension: server_name
    Server Name: shop.example.com
  Extension: supported_versions
    Supported Version: TLS 1.3 (0x0304)
  Extension: key_share

৫ · Wireshark — display filter আর stream অনুসরণ

Wireshark একই packet-কে তিন ভাগে দেখায়: ওপরে তালিকা, মাঝে স্তর ধরে খোলা গাছ, নিচে কাঁচা বাইট। Ethernet, IP, TCP, TLS একটির ভেতরে আরেকটি, ঠিক খামের ভেতরে খাম। এখানে বড় কাজ হলো বড় file থেকে দরকারি অংশ বের করা।

Follow stream হলো একটি packet-এ ডান-ক্লিক করে Follow → TCP Stream বেছে নেওয়া। Wireshark তখন ওই সংযোগের সব packet জোড়া দিয়ে দুই দিকের কথোপকথন দেখায়, আর নিজে থেকে tcp.stream eq N filter বসায়। HTTP-তে এটি পড়া যায়। HTTPS-এ দেখবেন অর্থহীন বাইট, আর সেটিই encryption-এর কাজ।

নিজের browser-এর সমস্যা খুঁজতে একটি পথ আছে। অনেক client SSLKEYLOGFILE নামের environment variable (পরিবেশ চলক) দেখে একটি file-এ session secret লিখতে পারে। Wireshark সেই key log file দিয়ে নিজের capture খুলতে পারে। এটি শুধু নিজের client, নিজের ল্যাব আর পরীক্ষার account-এ করুন। ওই file-এ যে-ই হাত দেবে, সে ওই session পড়তে পারবে। কাজ শেষে file মুছে পরিবেশ চলকটি সরান।

৬ · Encryption কী লুকায়, কী লুকায় না

সিলকরা খাম ভাবুন। ডাকপিয়ন চিঠি পড়তে পারেন না। কিন্তু খামের ওপরের ঠিকানা, ওজন, কতদিন পরপর চিঠি আসে, সবই দেখতে পান। TLS ঠিক এই সিল। এর বাইরে যা থাকে তাকে বলে metadata. রক্ষকের জন্য এটি ভালো খবর: বিষয়বস্তু না পড়েও অনেক সমস্যা ধরা যায়।

• TLS 1.3: Handshake-এর বড় অংশ encrypted, server-এর certificate-ও (RFC 9846). TLS 1.2-তে certificate খোলা যেত। তাই পুরোনো “certificate দেখে চেনা” নিয়ম এখন অনেক জায়গায় চলে না।
• DoH আর DoT: DNS প্রশ্ন encrypted পথে যায়। ব্যবহারকারীর গোপনীয়তা বাড়ে, কিন্তু network-এর DNS log ফাঁকা হতে পারে। প্রতিষ্ঠান তাই সাধারণত নিজের resolver ব্যবহারের নিয়ম করে।
• ECH: RFC 9849 (২০২৬) ClientHello-র ভেতরের অংশ, SNI-সহ, encrypt করার মান। সমর্থন client আর server-ভেদে আলাদা।
• QUIC: UDP-তে চলে, আর বেশিরভাগ header-ও সুরক্ষিত। ফলে TCP-র হিসাব এখানে চলে না। প্রথম Initial packet খোলা যায় এমন key দিয়ে সুরক্ষিত, তাই QUIC-সচেতন টুল ClientHello পড়তে পারে।
• TLS fingerprint: JA3 বা JA4-এর মতো পদ্ধতি ClientHello-র খোলা মান থেকে একটি ছাপ বানায়। এটি ইঙ্গিত, প্রমাণ নয়। অনেক বৈধ software একই ছাপ দিতে পারে।

৭ · Flow record বনাম full packet capture

ডাকঘরের রেজিস্টার খাতায় প্রতিটি চিঠির কপি থাকে না। থাকে শুধু কে, কাকে, কখন, কত ওজন। Flow record ঠিক এই খাতা। এটি একটি সংযোগের সারাংশ, যা 5-tuple দিয়ে চেনা হয়: source IP, destination IP, source port, destination port, protocol. সঙ্গে থাকে সময়, packet আর byte-এর সংখ্যা।

NetFlow Cisco-র কাছ থেকে এসেছে। এর version 9 বর্ণনা করে RFC 3954 (২০০৪)। IETF-এর মান IPFIX, যার মূল বিবরণ RFC 7011 (২০১৩)। অনেক router আর firewall এগুলো পাঠাতে পারে। ব্যস্ত যন্ত্রে সাধারণত sampling চলে, যেমন ১,০০০ packet-এ একটি। খরচ কমে, কিন্তু ছোট সংযোগ চোখ এড়াতে পারে। Sampling হার দিয়ে গুণ করা সংখ্যা তাই আনুমানিক।

জায়গার হিসাব

কাল্পনিক একটি অফিসের গড় traffic ধরুন ১০০ Mbps, গড় packet ৮০০ byte. প্রতি সেকেন্ডে ৫০০টি নতুন flow, প্রতি record ৫০ byte. সব সংখ্যাই ধরে নেওয়া।

• Full capture: 100,000,000 ÷ 8 = 12,500,000 byte/s. এক দিনে 12,500,000 × 86,400 = ১.০৮ TB. ৩০ দিনে ৩২.৪ TB.
• ৯৬ byte snaplen: Packet/s = 12,500,000 ÷ 800 = 15,625. প্রতিদিন 15,625 × 96 × 86,400 = ১২৯.৬ GB, অর্থাৎ ১২ শতাংশ।
• Flow: 500 × 50 × 86,400 = ২.১৬ GB প্রতিদিন। এটি full capture-এর ৫০০ ভাগের এক ভাগ।

নিচের কোড কয়েকটি কাল্পনিক flow record জোড়া দিয়ে প্রতি host-এর সারাংশ বানায়। এই পর্বের কাল্পনিক অফিসে 192.0.2.33 হলো অভ্যর্থনার PC.

// Flow summary on toy records (নমুনা): one hour, sizes in MB. No real traffic.
const flows = [ // src, dst, port, outMB, inMB
  ["192.0.2.10", "203.0.113.80",  443,   2.10,  48.00],
  ["192.0.2.10", "203.0.113.90",  443,   1.40,  22.50],
  ["192.0.2.10", "198.51.100.53",  53,   0.01,   0.02],
  ["192.0.2.20", "203.0.113.5",   443,   0.60, 310.00],
  ["192.0.2.20", "198.51.100.53",  53,   0.02,   0.03],
  ["192.0.2.33", "198.51.100.7",  443, 140.00,   1.20],
  ["192.0.2.33", "198.51.100.7",  443, 138.50,   1.10],
  ["192.0.2.33", "198.51.100.7",  443, 133.20,   0.90],
  ["192.0.2.33", "198.51.100.53",  53,   0.04,   0.05],
  ["192.0.2.40", "203.0.113.120", 443, 220.00,  35.00],
];
const MIN_OUT_MB = 100, MIN_RATIO = 10;    // thresholds are a policy choice

const hosts = {};
for (const [src, dst, port, out, inn] of flows) {
  const h = hosts[src] ??= { flows: 0, out: 0, inn: 0, dsts: new Set() };
  h.flows++; h.out += out; h.inn += inn; h.dsts.add(`${dst}:${port}`);
}
console.log("source       flows dests   outMB    inMB  out/in  note");
const rows = Object.entries(hosts).sort((x, y) => y[1].out - x[1].out);
for (const [src, h] of rows) {
  const ratio = h.out / h.inn;
  const note = h.out >= MIN_OUT_MB && ratio >= MIN_RATIO ? "REVIEW" : "-";
  console.log(src.padEnd(12), String(h.flows).padStart(5),
    String(h.dsts.size).padStart(5), h.out.toFixed(2).padStart(7),
    h.inn.toFixed(2).padStart(7), ratio.toFixed(2).padStart(7), "", note);
}

সংরক্ষণ আর গোপনীয়তা

Capture file একটি সংবেদনশীল ডেটা ভাণ্ডার। অফিসের রেজিস্টার খাতার চেয়ে এটি অনেক বেশি কিছু বলে। Plain HTTP-র password, session cookie, ব্যক্তিগত বার্তা, রোগী বা গ্রাহকের তথ্য, সবই থাকতে পারে। তাই এটিকে প্রমাণের মতো সামলান:

• কম ধরুন: Data minimization মেনে host, port, সময় আর snaplen সীমিত রাখুন।
• উদ্দেশ্য লিখুন: কে, কেন, কত সময়ের জন্য capture করলেন, ticket-এ লিখুন।
• Access সীমিত করুন: Encrypted storage, নির্দিষ্ট কয়েকজনের access, আর access-এর log.
• অখণ্ডতা রাখুন: সঙ্গে সঙ্গে SHA-256 hash নিন। মামলা বা তদন্তে গেলে chain of custody লাগবে (পর্ব ৬৩-তে বিস্তারিত)।
• মেয়াদ ঠিক করুন: Retention লিখিত থাকুক। মেয়াদ শেষে মুছে ফেলুন, আর সেই মুছে ফেলা নথিতে রাখুন।

Traffic-এ ব্যক্তিগত তথ্য থাকলে উপাত্ত সুরক্ষা আইনও প্রাসঙ্গিক হতে পারে। পর্ব ৭০ এই নকশা নিয়ে কথা বলবে। আইনের সীমা পর্ব ৬-এ।

৮ · গোলমেলে device খোঁজা

মহল্লার পাহারাদার প্রতিটি মানুষের ব্যাগ খোলেন না। তিনি ধরন দেখেন: কে রোজ রাত ৩টায় একই গলিতে যায়, কে হঠাৎ বড় বস্তা নিয়ে বের হয়। Network-এও তিনটি চেনা ধরন আছে। প্রতিটির নিরীহ ব্যাখ্যাও আছে, তাই আগে যাচাই, পরে সিদ্ধান্ত।

প্রথম কাজ top talker বের করা। নিচে একটি স্থির tcpdump ধাঁচের নমুনা থেকে awk, sort আর uniq দিয়ে হিসাব করা হয়েছে। Block নিজেই ছোট একটি text file বানায়, কোনো network ছোঁয় না।

# Top talkers from a fixed, invented tcpdump -q style sample (নমুনা).
cat > sample.txt <<'EOF'
10:00:01.10 IP 192.0.2.10.51514 > 203.0.113.80.443: tcp 517
10:00:01.14 IP 192.0.2.10.51514 > 203.0.113.80.443: tcp 120
10:00:01.20 IP 192.0.2.10.40112 > 198.51.100.53.53: UDP, length 34
10:00:02.05 IP 192.0.2.10.51516 > 203.0.113.90.443: tcp 517
10:00:02.31 IP 192.0.2.10.51516 > 203.0.113.90.443: tcp 88
10:00:03.02 IP 192.0.2.10.40118 > 198.51.100.53.53: UDP, length 34
10:00:03.44 IP 192.0.2.10.51514 > 203.0.113.80.443: tcp 96
10:00:04.00 IP 192.0.2.20.44210 > 203.0.113.5.443: tcp 517
10:00:04.40 IP 192.0.2.20.44210 > 203.0.113.5.443: tcp 64
10:00:05.10 IP 192.0.2.20.40120 > 198.51.100.53.53: UDP, length 37
10:00:06.00 IP 192.0.2.33.49822 > 198.51.100.7.443: tcp 1460
10:00:06.01 IP 192.0.2.33.49822 > 198.51.100.7.443: tcp 1460
10:00:06.02 IP 192.0.2.33.49822 > 198.51.100.7.443: tcp 1460
10:00:06.03 IP 192.0.2.33.49822 > 198.51.100.7.443: tcp 1460
10:00:06.04 IP 192.0.2.33.49822 > 198.51.100.7.443: tcp 1460
EOF
echo "== packets per source =="
awk '{split($3,a,"."); print a[1]"."a[2]"."a[3]"."a[4]}' sample.txt |
  sort | uniq -c | sort -rn
echo "== bytes per source =="
awk '{split($3,a,"."); s=a[1]"."a[2]"."a[3]"."a[4]; b[s]+=$NF}
     END {for (k in b) print b[k], k}' sample.txt | sort -rn
echo "== top destination:port =="
awk '{split($5,a,"[.:]"); print a[1]"."a[2]"."a[3]"."a[4]":"a[5]}' sample.txt |
  sort | uniq -c | sort -rn | head -3
rm sample.txt

নিয়মিততা মাপা

কত নিয়মিত, সেটি সংখ্যায় বলা যায়। পরপর সংযোগের বিরতি নিন। তারপর coefficient of variation বের করুন:

ধরুন বিরতি ৬০, ৬১, ৫৯, ৬০, ৬০ সেকেন্ড। গড় ৬০। গড় থেকে দূরত্বের বর্গ ০, ১, ১, ০, ০, যার গড় ০.৪। Standard deviation √০.৪ ≈ ০.৬৩। তাই CV ≈ ০.৬৩ ÷ ৬০ ≈ ০.০১। মানুষের browsing-এ বিরতি খুব ছড়ানো থাকে, তাই CV প্রায়ই ১-এর কাছাকাছি বা বেশি। সংখ্যা অবশ্য নির্দিষ্ট network-এর ওপর নির্ভর করে।

// Beaconing check on toy connection times (নমুনা), in seconds. No real traffic.
const conns = {
  "192.0.2.10 -> 203.0.113.80": [12, 19, 130, 141, 147, 420, 905, 912, 1500, 2210],
  "192.0.2.20 -> 203.0.113.5":  [0, 900, 1800, 2700, 3600, 4500, 5400, 6300, 7200],
  "192.0.2.33 -> 198.51.100.7": [0, 301, 599, 902, 1200, 1498, 1801, 2100, 2402, 2699, 3001],
  "192.0.2.40 -> 203.0.113.120": [100, 400, 700],
};
const known = new Set(["192.0.2.20 -> 203.0.113.5"]); // from the asset inventory
const MIN_INTERVALS = 8, MAX_CV = 0.10;   // tunable policy values

function stats(times) {
  const gaps = times.slice(1).map((t, i) => t - times[i]);
  const mean = gaps.reduce((a, g) => a + g, 0) / gaps.length;
  const v = gaps.reduce((a, g) => a + (g - mean) ** 2, 0) / gaps.length;
  return { n: gaps.length, mean, sd: Math.sqrt(v), cv: Math.sqrt(v) / mean };
}

console.log("pair".padEnd(29), "gaps  mean    sd     CV    verdict");
for (const [pair, times] of Object.entries(conns)) {
  const s = stats(times);
  let verdict = "irregular";
  if (s.n < MIN_INTERVALS) verdict = "too few to judge";
  else if (s.cv <= MAX_CV) verdict = known.has(pair) ? "regular, known job" : "REVIEW";
  console.log(pair.padEnd(29), String(s.n).padStart(4), s.mean.toFixed(1).padStart(6),
    s.sd.toFixed(1).padStart(6), s.cv.toFixed(3).padStart(6), "  " + verdict);
}

একটি host নিয়ে তদন্ত

এবার অভ্যর্থনার PC নিয়ে পুরো পথটি হাঁটা যাক। ধরে নিন network-টি আপনার প্রতিষ্ঠানের, আর আপনি লিখিত দায়িত্বপ্রাপ্ত। সব ডেটা নমুনা।

source       flows dests   outMB    inMB  out/in  note
192.0.2.33       4     2  411.74    3.25  126.69  REVIEW

pair                          gaps  mean    sd     CV
192.0.2.33 -> 198.51.100.7      10  300.1    2.2  0.007

10:00:02 192.0.2.33 A? x7k2q9.sync.example.com. → 198.51.100.7
10:05:02 192.0.2.33 A? m3p8w1.sync.example.com. → 198.51.100.7
10:10:03 192.0.2.33 A? c9t4z6.sync.example.com. → 198.51.100.7

# ClientHello পড়তে snaplen একটু বড়, আর নির্দিষ্ট দুই host
sudo tcpdump -i eth0 -n -s 600 -c 2000 -w case-1042.pcap \
     'host 192.0.2.33 and host 198.51.100.7'

Server Name: x7k2q9.sync.example.com
Supported Version: TLS 1.3 (0x0304)

device  : reception-pc (192.0.2.33)
অনুমোদিত backup/sync টুল : নেই
ব্যবহারকারীর বক্তব্য      : কোনো sync চালু করেননি
EDR     : ১০:০০-এর আগে থেকে একটি অচেনা process সংযোগ করছে

verdict : সন্দেহজনক, incident খোলা হলো
প্রমাণ  : case-1042.pcap, flow export, DNS log + SHA-256
পরের কাজ: playbook মেনে device আলাদা, মুছে ফেলা নয়

৯ · Capture ভাগ করার আগে — anonymise করা

Vendor support চাইল pcap. Forum-এ কেউ বলল, “file দিন”। এখানেই অনেক ফাঁস ঘটে। মনে রাখুন, IP ঢাকলেই ডেটা নিরাপদ হয় না। DNS নাম, SNI, cookie, MAC ঠিকানা, এমনকি সময়ের ধরনও মানুষ বা প্রতিষ্ঠান চিনিয়ে দিতে পারে।

# ১. মূল file-এর hash রাখুন, মূল file বদলাবেন না
sha256sum own-host.pcap > own-host.pcap.sha256

# ২. আলাদা কপিতে প্রতিটি packet-এর প্রথম ৯৬ byte রাখুন
editcap -s 96 own-host.pcap share-trimmed.pcap

# ৩. file-এর সারাংশ দেখে নিন
capinfos share-trimmed.pcap

৯৬ byte-ও সব মুছে দেয় না। ছোট DNS packet-এর প্রশ্নের নাম ওই সীমার ভেতরেই থাকতে পারে। তাই শেয়ার করার আগে কপিটি নিজে খুলে দেখুন। আর সবচেয়ে ভালো পথ হলো সমস্যাটি পরীক্ষার account দিয়ে নিজের ল্যাবে আবার ঘটিয়ে সেই ছোট capture পাঠানো।

• Anonymization বনাম pseudonymization: প্রথমটিতে ফিরিয়ে আনার পথ থাকে না। দ্বিতীয়টিতে key বা মিলের তালিকা থাকলে ফেরানো যায়। GDPR-এর চোখে pseudonymized ডেটা এখনো ব্যক্তিগত ডেটা।
• শুধু IP-র hash যথেষ্ট নয়: IPv4-তে মোট 2³² ≈ ৪২৯ কোটি ঠিকানা। সাধারণ hash-এর সব মান একটি কম্পিউটারই বের করে ফেলতে পারে। তাই গোপন key-সহ HMAC বা একটি এলোমেলো মিলের তালিকা দরকার।
• Prefix-preserving anonymization: Crypto-PAn-এর মতো পদ্ধতি একই subnet-এর ঠিকানাকে বদলের পরেও এক prefix-এ রাখে। বিশ্লেষণ সহজ হয়, তবে subnet-এর গঠন কিছুটা ফাঁস থাকে।
• চুক্তি আর পথ: Vendor-কে দিলে নিরাপদ upload পথ আর NDA থাকুক। যা পাঠালেন, তার নোট রাখুন।

১০ · AI-এর যুগে packet analysis

AI filter লিখতে, field-এর মানে বোঝাতে আর অপরিচিত protocol ব্যাখ্যা করতে ভালো সাহায্য করে। কিন্তু ভুল filter চুপচাপ ভুল ফল দেয়। আর আসল pcap chat box-এ দেওয়া মানে গোপন ডেটা তৃতীয় পক্ষকে দেওয়া।

AI-এর পরামর্শ কাজে লাগানোর আগে

• Capture-এর অনুমতি, উদ্দেশ্য আর সময়সীমা লেখা আছে
• AI-তে কোনো আসল pcap, cookie, token বা ব্যক্তিগত তথ্য দিইনি
• Filter নিজের ছোট নমুনায় চালিয়ে ফল মিলিয়েছি
• Field, RFC আর CVE মূল উৎসে দেখে নিয়েছি
• একটি ইঙ্গিত থেকে সিদ্ধান্ত নিইনি, অন্য উৎসের সঙ্গে মিলিয়েছি
• মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষ নিয়েছেন