Le tre catture che un troubleshooter Check Point produce — fw monitor, cppcap, tcpdump — finiscono tutte in Wireshark, ma non raccontano la stessa storia. Il laboratorio M5 verifica che tu sappia quale vista hai davanti prima di trarne una conclusione.

Preparare Wireshark prima di aprire il file

Tre impostazioni fanno la differenza su una cattura Check Point.

View → Coloring Rules: le regole vengono valutate dall’alto verso il basso e vince la prima che corrisponde, perciò le regole più specifiche vanno sopra quelle generali. Conviene aggiungere in cima una regola sul traffico di prova, indirizzo e porta del test, così lo isoli a colpo d’occhio senza filtrare.

View → Time Display Format: sei formati, fra cui Seconds Since Previous Displayed Packet, che con un filtro attivo misura la distanza fra i pacchetti che stai effettivamente guardando. Marcare un pacchetto come time reference (compare *REF* nella colonna del tempo) fa ripartire il conteggio da quel punto. La precisione si può forzare fino ai nanosecondi, ma l’impostazione automatica segue quella nativa del file, tipicamente microsecondi per i file libpcap.

Filtro di visualizzazione: cambia solo quello che vedi, non il contenuto del file. Il filtro di cattura, invece, decide che cosa entra nel file, e quello che scarta non torna più.

Salvare la cattura senza perdere informazioni

Sul gateway il file lo produce lo strumento: fw monitor -o, cppcap -o, tcpdump -w. cppcap è lo strumento Check Point simile a tcpdump, nato per ridurre il carico di CPU che tcpdump genera sui Security Gateway: -f applica un filtro pcap-filter, -w fissa la dimensione massima prima della rotazione, -W quanti file conservare, e produce file .pcap. Va lanciato in Expert mode.

In Wireshark, File → Save As salva in pcapng, formato predefinito dalla versione 1.8. Salvare in un formato diverso può far perdere commenti, risoluzione dei nomi e risoluzione dei timestamp. File → Export Specified Packets ritaglia un sottoinsieme (tutti, selezionati, marcati, visualizzati) e resta un file di cattura; File → Export Packet Dissections produce testo, CSV, JSON o PDML, cioè l’analisi e non la cattura: non si riapre come tale.

Se hai lasciato ruotare i file, File → File Set → List Files / Next File / Previous File naviga i membri dell’insieme, che Wireshark riconosce per prefisso e suffisso nello schema Prefix_DateTime_Number_Suffix.

Leggere una cattura di fw monitor

fw monitor cattura a ogni Chain Module, in ingresso e in uscita. I punti di ispezione sono i (pre-inbound), I (post-inbound), o (pre-outbound), O (post-outbound), più e ed E prima e dopo la cifratura VPN. Lo stesso pacchetto compare quindi più volte nel file, una per ogni punto che ha attraversato: la sequenza è l’informazione. Un pacchetto presente in i e assente in I non ha superato la catena inbound; presente in I e assente in o non è arrivato al lato di uscita.

fw ctl chain elenca i moduli della catena, che cambiano con le blade attive: è la mappa che dà senso alle posizioni. Attenzione al traffico accelerato: fw monitor mostra anche quello gestito da SecureXL, ma i parametri di posizione non si applicano al traffico accelerato, che resta monitorato nelle posizioni inbound e outbound predefinite.

Leggere una cattura di interfaccia

tcpdump e cppcap catturano sull’interfaccia: dicono se il pacchetto è arrivato e se è uscito, con MAC, VLAN, ritrasmissioni e dimensioni reali. Non dicono nulla su quale modulo della catena lo ha toccato, perché quella dimensione nel file non c’è. A differenza di tcpdump, cppcap cattura anche il traffico accelerato da SecureXL.

Per capire se il pacchetto è entrato e non è uscito basta la cattura di interfaccia; per capire perché, servono i log in SmartConsole e una cattura di fw monitor.

Trappole tipiche d’esame

  • Salvare in un formato che perde il contesto. Esportare le dissezioni (testo, CSV, JSON) non produce un file di cattura riapribile, e convertire verso un formato più povero di pcapng può togliere commenti e risoluzione dei timestamp. La sequenza dei punti di ispezione di fw monitor sopravvive solo se conservi il file di cattura, non l’analisi.
  • Fidarsi del colore invece che del contenuto. Le coloring rules sono filtri di visualizzazione valutati a prima corrispondenza: una regola generale messa in alto colora pacchetti che una regola più sotto avrebbe classificato meglio. Vale anche per l’Expert Information: le severità (Chat, Note, Warn, Error) sono il punto di partenza dell’indagine, non quello di arrivo. Apri il pacchetto e leggi i campi.
  • Chiedere a una cattura di interfaccia l’effetto delle regole. Un pacchetto che entra e non esce può essere stato scartato da una regola, perso nell’instradamento o mai inoltrato: la cattura di interfaccia non distingue i tre casi. Serve fw monitor, dove l’assenza del pacchetto in un punto preciso della catena localizza dove è sparito.