tcpdump - jak filtrować w oparciu o czas połączenia/czas połączenia tcp

Question

Czy istnieje możliwość filtrowania tcpdump (na żywo lub po utworzeniu zrzutu) w oparciu o czas połączenia tcp (czas połączenia)?

Nagrywam ruch http json rpc. Chcę nagrywać tylko połączenia dłuższe niż powiedzmy 1000 ms.

W wireshark jest narzędzie w Menu-> Statystyki-> Rozmowy (karta TCP) i tam mogę sortować według "czasu trwania". Ale chcę nagrać (lub filtrować) długo żywe połączenia przed (nie w wireshark).

w poleceniach pseudo Chcę zrobić coś takiego:

tcpdump -i eth0 port 80 and connectionTime>1000ms -w data.pcap 

lub po nagraniu:

cat data.pcap | SOMETOOL -connectionTime>1000ms > dataLongConnections.pcap 

SOMETOOL musi dokonać wywozu przefiltrowane dane do formatu, który Wireshark zrozumie. Ponieważ po filtrowaniu chcę analizować te dane w Wireshark.

Jak mogę to zrobić?

Answer 1

Musisz wziąć pod uwagę swój ruch na poziomie przepływ zamiast pakietu pakiet poziom.

Jeśli pracowałeś z NetFlow, możesz użyć flow-tools i flow-nfilter do filtrowania przepływów według czasu trwania. Więc możesz convert your pcap to NetFlow, a później filtrować.

Wadą jest to, że na wyjściu dostaje się NetFlow, a nie PCAP. Do budowania niektórych statystyk wystarczy, ale sprawdzanie pakietów - na pewno nie.

Można również zbudować własne narzędzie z libpcap w C (twarda droga) lub scapy w python (prostszy sposób). Ta druga opcja nie powinna być zbyt trudna (pod warunkiem, że pracujesz z pytonem).

Answer 2

SplitCap może Ci pomóc. To zajmie PCAP jako osobne wejście i wyjście PCAP dla każdej sesji TCP/UDP. Po podziale można było filtrować z PCAPów wyjściowych interesujące zachowania.