Introducció

Què és lippycat?

lippycat és una eina de captura i anàlisi del trànsit de xarxa creada per a infraestructures modernes. Captura paquets d’interfícies de xarxa o de fitxers PCAP i ofereix modes CLI i TUI (interfície d’usuari de terminal) per al monitoratge i l’anàlisi en temps real.

Mentre que eines tradicionals com tcpdump ofereixen bolcats de paquets en brut i Wireshark necessita una interfície gràfica, lippycat omple aquest buit: anàlisi que té en compte els protocols amb la comoditat d’una interfície de terminal, i captura distribuïda quan una sola màquina no és suficient.

Casos d’ús

Monitoratge de xarxa Captureu i analitzeu el trànsit de qualsevol interfície. Filtreu per protocol, amfitrió, port o expressions BPF personalitzades. Escriviu fitxers PCAP per a l’anàlisi fora de línia.

Anàlisi de VoIP Feu el seguiment de les trucades SIP d’extrem a extrem, correlacioneu fluxos RTP i escriviu fitxers PCAP per trucada. Superviseu les mètriques de qualitat de les trucades i detecteu problemes en temps real.

Monitoratge de seguretat Inspeccioneu les negociacions TLS, detecteu anomalies dels protocols i captureu trànsit per a l’anàlisi forense. Admet la desencapsulació ESP-NULL per inspeccionar túnels xifrats.

Captura distribuïda Desplegueu nodes Hunter lleugers en diversos segments de xarxa i agregueu el trànsit en un processador central. Superviseu-ho tot des d’una única TUI.

Comparació amb eines semblants

lippycat se centra en els protocols DNS, TLS, HTTP, correu electrònic, RADIUS i VoIP, amb una anàlisi detallada de cadascun.

Quan convé utilitzar lippycat en lloc d’altres opcions:

• Necessiteu captura distribuïda en diversos segments de xarxa
• Voleu monitoratge interactiu al terminal (sense interfície gràfica)
• Analitzeu trànsit VoIP i voleu fitxers PCAP per trucada
• Necessiteu desplegar agents de captura en servidors sense interfície gràfica

Quan convé utilitzar altres opcions:

• Necessiteu analitzar protocols poc habituals o propietaris (Wireshark)
• Necessiteu un bolcat ràpid de paquets amb una sola línia d’ordres (tcpdump)
• Necessiteu estadístiques àmplies de protocols (tshark)

Visió general de les ordres

lippycat segueix un patró coherent [verb] [object]:

lc [verb] [object] [flags]

L’itinerari d’aprenentatge d’aquest manual segueix una complexitat progressiva:

graph LR
    sniff["lc sniff"]
    watch["lc watch"]
    hunt["lc hunt"]
    process["lc process"]
    tap["lc tap"]
    remote["lc watch remote"]

    sniff --> watch --> hunt --> process --> tap --> remote

    subgraph Local
        sniff
        watch
    end

    subgraph Distributed
        hunt
        process
        tap
        remote
    end

Cada ordre es basa en conceptes de l’anterior; per això, llegir el manual en ordre facilita l’aprenentatge.