tcpdump によるキャプチャ取得

参考サイト

様々なオプションが載っていたのでいつか試したい。
https://milestone-of-se.nesuke.com/sv-basic/linux-basic/tcpdump/

実施環境

Ubuntu 16.04 (LTS)

コマンド一覧

1分ごとに1ファイルに出力(最大2ファイル)

sudo tcpdump port 443 -G 60 -W 2 -w tcp-capture-at-%H%M%S.pcap

1時間ごとに1ファイルに出力(最大24ファイル：24時間分)

【フォアグラウンド】
sudo tcpdump -A port 443 -G 3600 -W 24 -w tcp-capture-at-%H%M%S.pcap
【バックグラウンド】
sudo tcpdump -A port 443 -G 3600 -W 24 -w tcp-capture-at-%H%M%S.pcap &

キャプチャ確認コマンド

sudo tcpdump -r capture-at-hhmmss.pcap | grep xxx.xxx.xxx.xxx
※「hhmmss」と「xxx.xxx.xxx.xxx」は適宜置き換えてください。

キャプチャ確認(特定IPを除去)

「192.168.1.1」をキャプチャから除きたい場合

sudo tcpdump -r tcp-capture-at-173204.pcap | grep -v 192.168.1.1

「10.56.0.20」「192.168.1.1」をキャプチャから除きたい場合

sudo tcpdump -r tcp-capture-at-173204.pcap | grep -v 10.56.0.20 | grep -v 192.168.1.1