Komenda tcpdump w systemach z rodziny UNIX/Linux służy do przechwytywania (sniffingu) i analizy pakietów przesyłanych przez interfejs sieciowy. Potrafi wyświetlać nagłówki ramek/pakietów, filtrować ruch (np. po adresach, portach, protokołach) oraz zapisywać przechwycony ruch do pliku w formacie PCAP do dalszej analizy.
Dlaczego poprawna jest "analizę ruchu w sieci"?
Bo główną funkcją tcpdump jest obserwacja i rejestracja rzeczywistego ruchu na łączu, co pozwala diagnozować problemy takie jak brak odpowiedzi serwera, błędne adresowanie, negocjacja DHCP czy nieoczekiwane połączenia.
Dlaczego pozostałe odpowiedzi są błędne?
- Modyfikację tablicy routingu wykonuje się innymi narzędziami administracyjnymi (np. poleceniami do zarządzania trasami). tcpdump nie zmienia konfiguracji routingu, jedynie obserwuje ruch.
- Wysłanie zapytania do bazy DNS jest zadaniem klientów DNS (np. narzędzi do odpytywania serwerów nazw). tcpdump może co najwyżej zarejestrować takie zapytanie, jeśli jest wysyłane przez inny program.
- Wprowadzanie zmian ustawień protokołu TCP/IP dotyczy konfiguracji stosu sieciowego (adresy, maski, parametry). tcpdump nie służy do ustawiania parametrów, tylko do diagnostyki i podglądu transmisji.
Wskazówka egzaminacyjna: jeśli w treści pojawia się tcpdump, myśl o "pakietach" i "podsłuchu ruchu". Do konfiguracji używa się innych poleceń, a do DNS – dedykowanych klientów zapytań.
