L21 · Ανάλυση Κίνησης Μέρος 1: Καταγραφή, Φίλτρα, και Τι Επιτρέπεται να Πιάσεις
Ανάλυση κίνησης μέρος 1: καταγραφή, φίλτρα, και τι επιτρέπεται να πιάσεις
Το φίλτρο εμφάνισης κρύβει. Το φίλτρο καταγραφής δεν συλλέγει. Μόνο το δεύτερο περιορίζει τι κατέχεις — και μόνο αυτό έχει νομικό βάρος.
⚠ Το όριο, και γιατί είναι βαρύτερο εδώ
Η καταγραφή πακέτων δεν είναι σάρωση. Είναι διαφορετικό ερώτημα με διαφορετική απάντηση.
Μια σάρωση στέλνει και βλέπει τι γυρίζει. Μια καταγραφή διαβάζει τις επικοινωνίες άλλων
ανθρώπων — και αυτό αγγίζει το απόρρητο επικοινωνιών, όχι απλώς την πρόσβαση σε σύστημα.
⚖ ΑΠΑΙΤΕΙ ΝΟΜΙΚΟ ΕΛΕΓΧΟ — L02 §3.
Το σημείο που ο εκπαιδευόμενος το χάνει είναι το δικό του σπίτι.
Το Wi-Fi του σπιτιού σου φαίνεται «δικό σου». Δεν είναι εργαστήριο (L06 §1): πάνω του
υπάρχουν τηλέφωνα, τηλεοράσεις και υπολογιστές άλλων ανθρώπων που δεν συναίνεσαν. Το ίδιο
ισχύει —πολλαπλάσια— για δίκτυο εργασίας, φοιτητικής εστίας ή πολυκατοικίας.
| Πού | Επιτρέπεται; |
|---|---|
| Απομονωμένο εργαστήριο L06 | ✅ |
| Δικό σου μηχάνημα, δική σου κίνηση | ✅ |
| Wi-Fi σπιτιού με άλλους ανθρώπους | ❌ |
| Εταιρικό δίκτυο | ❌ χωρίς γραπτή εξουσιοδότηση |
| Κοινόχρηστο ή δημόσιο δίκτυο | ❌ ποτέ |
| Ασύρματο σε λειτουργία παρακολούθησης | ❌ εκτός ρητής ανάθεσης ασύρματου ελέγχου |
Και ένα που ισχύει ακόμη και όταν επιτρέπεται:
Ένα αρχείο καταγραφής είναι προσωπικά δεδομένα μέχρι αποδείξεως του εναντίου. Καταγράφεις
το ελάχιστο που τεκμηριώνει την ενέργεια, λογοκρίνεις πριν το αποθηκεύσεις, και δεν το
μοιράζεσαι χωρίς να ξέρεις τι περιέχει (L07 §8, L24 §4).
Μαθησιακοί στόχοι
- Δηλώνει πού επιτρέπεται να καταγράψει και γιατί
- Διακρίνει φίλτρο καταγραφής από φίλτρο εμφάνισης — και ξέρει ποιο έχει νομικό βάρος
- Εξηγεί τι καθορίζει τι μπορεί να δει από μια δεδομένη θέση
- Απομονώνει μια συνομιλία μέσα σε καταγραφή
- Χειρίζεται την καταγραφή ως τεκμήριο: αρχείο, hash, ώρα, έκδοση
Τι καθορίζει τι βλέπεις
Πριν από τα φίλτρα: η θέση σου καθορίζει το υλικό. Κανένα φίλτρο δεν φέρνει κίνηση που δεν
έφτασε ποτέ στην κάρτα σου.
Το L10 §1 το εξήγησε: σε σύγχρονο δίκτυο βλέπεις τη δική σου κίνηση και τις εκπομπές. Οπότε
η επιλογή διεπαφής είναι η πρώτη απόφαση:
| Θέση | Τι πιάνεις |
|---|---|
| Διεπαφή του εργαστηρίου (host-only) | Όλη την κίνηση του εργαστηρίου σου — ιδανικό |
| Φυσική διεπαφή του μηχανήματος | Τη δική σου κίνηση προς τα έξω |
| Τοπικός βρόχος | Ό,τι μιλά με τον εαυτό του |
Υπάρχει και μια ρύθμιση που λέει στην κάρτα να μην απορρίπτει ό,τι δεν της απευθύνεται. Την
έχεις συναντήσει στο L10 §1 — δεν είναι μαγική· απλώς σταματά το φιλτράρισμα στη δική
σου κάρτα. Ο μεταγωγέας εξακολουθεί να μη σου στέλνει ξένη κίνηση.
⧗ ΑΠΑΙΤΕΙ ΕΠΑΛΗΘΕΥΣΗ — ονόματα διεπαφών, εγκατάσταση, και η ρύθμιση που επιτρέπει καταγραφή
χωρίς αυξημένα δικαιώματα, στη δηλωμένη έκδοση.
Δεν καταγράφεις ως υπερχρήστης «για να δουλέψει». Υπάρχει μηχανισμός που δίνει το
δικαίωμα καταγραφής σε κανονικό λογαριασμό, ακριβώς γι’ αυτόν τον λόγο (L09 §2).
Δύο φίλτρα, και μόνο το ένα σε προστατεύει
Αυτή είναι η βασική έννοια του μαθήματος, και είναι αυτή που δεν εσωτερικεύεται.
| Φίλτρο καταγραφής | Φίλτρο εμφάνισης | |
|---|---|---|
| Πότε ενεργεί | Πριν γραφτεί οτιδήποτε | Μετά, πάνω σε ό,τι ήδη έχεις |
| Τι κάνει | Καθορίζει τι συλλέγεται | Καθορίζει τι βλέπεις |
| Αναιρείται; | Όχι — ό,τι δεν πιάστηκε χάθηκε | Ναι, ελεύθερα |
| Σύνταξη | Διαφορετική | Διαφορετική |
| Νομικό βάρος | Ναι | Όχι |
Η τελευταία γραμμή είναι ο λόγος που η ενότητα υπάρχει.
Το φίλτρο εμφάνισης κρύβει. Το φίλτρο καταγραφής δεν συλλέγει.
Αν καταγράψεις τα πάντα και μετά κοιτάξεις μόνο τον στόχο σου, έχεις στην κατοχή σου την
κίνηση όλων των άλλων. Το ότι δεν την κοίταξες δεν σε βοηθά — την κατέχεις.
Η ελαχιστοποίηση του L07 §8 εφαρμόζεται εδώ στο φίλτρο καταγραφής, όχι στο τι θα
κοιτάξεις μετά. Σε πραγματική ανάθεση, ο περιορισμός γράφεται στο RoE και υλοποιείται εδώ.
Η απόδειξη, από πραγματική καταγραφή
Δύο καταγραφές του ίδιου διαστήματος, με διαφορετικό φίλτρο καταγραφής:
| Αρχείο | Φίλτρο καταγραφής | Πακέτα |
|---|---|---|
session-1.pcap |
host <στόχος> |
43 |
session-1-port80only.pcap |
host <στόχος> and port 80 |
20 |
Τώρα το ίδιο φίλτρο εμφάνισης και στα δύο — tcp.port==25 || tcp.port==9999:
πακέτα στο session-1.pcap : 14
πακέτα στο session-1-port80only.pcap : 0
Δεκατέσσερα πακέτα στο ένα αρχείο, μηδέν στο άλλο. Η κίνηση υπήρξε πραγματικά και στις
δύο περιπτώσεις — το δεύτερο αρχείο απλώς δεν τη συνέλεξε ποτέ. Κανένα φίλτρο εμφάνισης,
καμία επανάληψη, κανένα εργαλείο δεν την επαναφέρει.
Και η πρακτική συνέπεια στην άλλη κατεύθυνση: ό,τι δεν πιάστηκε δεν ανακτάται. Ένα φίλτρο
καταγραφής υπερβολικά στενό σε αφήνει χωρίς το τεκμήριο που θα χρειαζόσουν. Η ισορροπία είναι
απόφαση, και γράφεται πριν (L14 §3).
Φίλτρα εμφάνισης: τι ρωτάς
Ένα φίλτρο εμφάνισης απαντά σε ερώτημα. Οι κατηγορίες ερωτημάτων είναι σταθερές, ανεξάρτητα
από σύνταξη:
| Ερώτημα | Τι απομονώνει |
|---|---|
| Ποιος μίλησε με ποιον; | Κίνηση από ή προς συγκεκριμένη διεύθυνση |
| Τι πρωτόκολλο; | Μόνο DNS, μόνο HTTP, μόνο ARP |
| Ποιες προσπάθειες σύνδεσης; | Τα πακέτα εκκίνησης του L08 §5 |
| Τι πήγε στραβά; | Σφάλματα, επαναμεταδόσεις, απορρίψεις |
| Τι συνέβη σε αυτό το διάστημα; | Χρονικό παράθυρο |
⧗ ΑΠΑΙΤΕΙ ΕΠΑΛΗΘΕΥΣΗ — η ακριβής σύνταξη κάθε έκφρασης, στη δηλωμένη έκδοση.
Η μέθοδος που δουλεύει: ξεκίνα ευρύ, στένεψε σταδιακά, και κατάγραψε κάθε φίλτρο που
χρησιμοποίησες. Το φίλτρο είναι μέρος της μεθόδου σου — χωρίς αυτό, κανείς δεν μπορεί να
αναπαραγάγει το ότι «δεν βρήκες τίποτα» (L07 §7).
Απομόνωση συνομιλίας
Ένα πακέτο μόνο του σπάνια σημαίνει κάτι. Η συνομιλία σημαίνει.
Τα εργαλεία αυτής της κατηγορίας ανασυνθέτουν μια ολόκληρη ανταλλαγή από τα διάσπαρτα πακέτα
της και τη δείχνουν ως συνεχές κείμενο. Είναι η πιο άμεσα χρήσιμη λειτουργία που θα μάθεις εδώ.
Τι κερδίζεις: βλέπεις τη σειρά, ποιος μίλησε πρώτος, τι ζητήθηκε και τι απαντήθηκε.
Τι χάνεις: τη χρονική διάσταση και τα πακέτα που δεν ανήκουν στη ροή — δηλαδή ακριβώς
τα σφάλματα και τις επαναμεταδόσεις που συχνά εξηγούν τι πήγε στραβά. Επιστρέφεις στην πλήρη
όψη μετά.
Οι συνολικές όψεις —ποιοι μίλησαν με ποιους, ποια πρωτόκολλα και σε τι αναλογία, πόση κίνηση
ανά χρόνο— είναι η γρήγορη εικόνα πριν ψάξεις λεπτομέρεια. Το L22 τις χρησιμοποιεί
συστηματικά.
Τι **δεν** μπορείς να δεις
Χωρίς αυτή την ενότητα, ο εκπαιδευόμενος καταλήγει σε ένα από δύο λάθη: «το εργαλείο είναι
χαλασμένο» ή «είδα περισσότερα απ’ όσα είδα».
| Δεν βλέπεις | Γιατί |
|---|---|
| Το περιεχόμενο κρυπτογραφημένης κίνησης | Σχεδιασμός — L10 §1 |
| Κίνηση άλλων μηχανημάτων σε μεταγωγέα | Δεν φτάνει σε σένα |
| Ό,τι έγινε πριν ξεκινήσεις | Η καταγραφή αρχίζει όταν την αρχίσεις |
| Ό,τι απέρριψε το φίλτρο καταγραφής | §2 — οριστικά |
| Ό,τι χάθηκε σε φόρτο | Το εργαλείο συνήθως το δηλώνει — διάβασέ το |
Η τελευταία γραμμή είναι σοβαρή για τεκμηρίωση: μια καταγραφή με απώλειες είναι ελλιπής,
και αν δεν το αναφέρεις παρουσιάζεις ως πλήρες κάτι που δεν είναι.
Αυτό που εξακολουθείς να βλέπεις υπό κρυπτογράφηση —ποιος, με ποιον, πότε, πόσο, πόσο
συχνά— είναι το L10 §1, και είναι αρκετό για τα περισσότερα ερωτήματα.
Η καταγραφή ως τεκμήριο
Χωρίς αυτό, το M5 δεν είναι αξιολογήσιμο.
Ένα αρχείο καταγραφής είναι από τα ισχυρότερα τεκμήρια που θα παραγάγεις — είναι ακριβές
αντίγραφο του τι πέρασε, με χρονοσήμανση ανά πακέτο. Αντιμετωπίζεται ανάλογα:
| Βήμα | Λεπτομέρεια |
|---|---|
| Αποθήκευση | Στο 03-raw/, με όνομα που λέει τι είναι και πότε |
| Hash | Αμέσως, πριν το ανοίξεις για ανάλυση (L24 §2) |
| Χρονοσήμανση | Έναρξη και λήξη σε UTC — και η πηγή ώρας |
| Έκδοση | Εργαλείο και έκδοση· οι μορφές αρχείων διαφέρουν |
| Φίλτρο καταγραφής | Καταγράφεται· είναι μέρος του τι συλλέχθηκε (§2) |
| Απώλειες | Αν υπήρξαν, δηλώνονται (§5) |
| Ποτέ επεξεργασία | Η ανάλυση σε αντίγραφο· το πρωτότυπο δεν αγγίζεται |
Η πηγή ώρας δεν είναι λεπτομέρεια. Οι χρονοσημάνσεις προέρχονται από το ρολόι του
μηχανήματος που κατέγραψε. Αν δεν είναι συγχρονισμένο, η χρονογραμμή σου είναι λάθος — και θα
συσχετίσεις γεγονότα που δεν συνέβησαν μαζί. Το L22 χτίζει ολόκληρη χρονογραμμή πάνω σε
αυτό.
Άσκηση
Δεν κατεβάζεις δείγμα. Παράγεις δική σου καταγραφή, όπως στο L10 §5 — και ξέρεις
ακριβώς τι προκάλεσες, που είναι καλύτερη αφετηρία.
- Δήλωσε πρώτα: πού θα καταγράψεις, γιατί επιτρέπεται, και τι φίλτρο καταγραφής θα
χρησιμοποιήσεις — με αιτιολόγηση (§2). - Κατάγραψε ενώ παράγεις κίνηση ανάμεσα στις δικές σου VMs: μια επίλυση ονόματος, μια
προσπάθεια σύνδεσης που πετυχαίνει, μία που αποτυγχάνει. - Αρχειοθέτησε αμέσως κατά τη §6: hash, ώρες, έκδοση, φίλτρο, απώλειες.
- Απομόνωσε με φίλτρα εμφάνισης, ένα ερώτημα τη φορά (§3). Κατάγραψε κάθε φίλτρο.
- Ακολούθησε μια συνομιλία (§4). Τι είδες που δεν φαινόταν στη λίστα πακέτων;
- Επανάλαβε το βήμα 2 με στενό φίλτρο καταγραφής που αποκλείει ένα από τα τρία. Δείξε ότι
δεν ανακτάται από την καταγραφή. - Γράψε τι δεν μπορείς να δεις από αυτή τη θέση, και γιατί (§5).
Βαθμολόγηση
| Κριτήριο | Βάρος |
|---|---|
| Βήμα 6: αποδεικνύει έμπρακτα τη διαφορά των δύο φίλτρων | 30 % |
| Βήμα 1: το φίλτρο καταγραφής αιτιολογείται πριν | 20 % |
| Βήμα 3: πλήρης αρχειοθέτηση, με φίλτρο και πηγή ώρας | 20 % |
| Βήμα 7: σωστά όρια, χωρίς υπερδήλωση | 20 % |
| Βήμα 4: κάθε φίλτρο καταγράφηκε | 10 % |
Άμεση αποτυχία: καταγραφή σε οποιοδήποτε δίκτυο πέραν του απομονωμένου εργαστηρίου.
Σημείωση προς τον εκπαιδευτή. Το βήμα 6 είναι ολόκληρο το μάθημα σε μία ενέργεια. Μέχρι
να δει κάποιος ότι το δεδομένο δεν υπάρχει στο αρχείο, τα δύο φίλτρα του φαίνονται
παραλλαγές του ίδιου πράγματος.
Συνήθη λάθη
| Λάθος | Τι ισχύει |
|---|---|
| Καταγραφή στο Wi-Fi του σπιτιού «για εξάσκηση» | Υπάρχουν άνθρωποι που δεν συναίνεσαν (κεφαλίδα) |
| Τα δύο φίλτρα ως το ίδιο πράγμα | §2 — μόνο το ένα περιορίζει τι κατέχεις |
| Καταγραφή των πάντων και φιλτράρισμα μετά | Κατέχεις ό,τι έπιασες (§2) |
| Καταγραφή ως υπερχρήστης εξ ορισμού | Υπάρχει μηχανισμός γι’ αυτό (§1) |
| Οι απώλειες αγνοούνται | Η καταγραφή είναι ελλιπής (§5) |
| Το αρχείο ανοίγεται και σώζεται ξανά | Δεν είναι πια το πρωτότυπο (§6) |
Αξιολόγηση
≈3 από 40: πού επιτρέπεται η καταγραφή· ποια είναι η διαφορά των δύο φίλτρων και ποιο έχει
νομικό βάρος· τι δεν φαίνεται σε μια καταγραφή και γιατί.
Τι άλλαξε σε αυτή την αναθεώρηση
Το άρθρο ήταν 541 λέξεις — το ασθενέστερο μάθημα της διαδρομής. Αναθεωρήθηκε επί τόπου,
με διατήρηση ιστορικού και χωρίς αλλαγή διεύθυνσης. Η πλήρης ταξινόμηση ανά παράγραφο
βρίσκεται στο docs/22-post-4499-paragraph-inventory.md.
| Ενέργεια | Τι |
|---|---|
| Αφαιρέθηκε | Έξι παραπομπές σε νόμους και οδηγίες — πολιτική L02 |
| Αφαιρέθηκε | Οδηγία λήψης δείγματος — το εργαστήριο δεν έχει έξοδο |
| Αφαιρέθηκε | Δηλωμένα αναγνωριστικά τεχνικών, 15 σύνδεσμοι, διαφημιστικό κάλεσμα |
| Προστέθηκε | Η διάκριση των δύο φίλτρων — το θέμα του τίτλου, που έλειπε |
| Προστέθηκε | Το όριο καταγραφής, με την περίπτωση του οικιακού δικτύου |
| Προστέθηκε | Τι δεν φαίνεται (§5) |
| Προστέθηκε | Η καταγραφή ως τεκμήριο (§6) — χωρίς αυτό το M5 δεν αξιολογείται |
| Προστέθηκε | Ανεξάρτητη άσκηση |
| Διατηρήθηκε | Ελαχιστοποίηση και λογοκρισία· απομόνωση συνομιλίας· συνολικές όψεις |
Εκκρεμότητες
| # | Εκκρεμότητα |
|---|---|
| 1 | PLATFORM-BASELINE — εργαλείο, έκδοση, ονόματα διεπαφών, σύνταξη και των δύο φιλτρων |
| 2 | Ο μηχανισμός καταγραφής χωρίς αυξημένα δικαιώματα, επαληθευμένος (§1) |
| 3 | Νομικός έλεγχος της κεφαλίδας μαζί με L02 — το απόρρητο επικοινωνιών είναι χωριστό ζήτημα |
| 4 | ~~Στιγμιότυπα~~ — ✅ πραγματικές καταγραφές στο lab/reference-captures/, με manifest και hashes |
Σημείωση σύνταξης
Τα μπλοκ εξόδου είναι πραγματικές καταγραφές από το απομονωμένο εργαστήριο, 2026-08-04 — αρχεία και hashes στο lab/reference-captures/. Οι διευθύνσεις αντικαταστάθηκαν με δεσμευμένες για τεκμηρίωση. Δεν περιέχουν πραγματικά προσωπικά δεδομένα, διαπιστευτήρια ή φορτίο. Η καταγραφή σε πραγματική διεπαφή VM εκκρεμεί· η διάκριση των δύο φίλτρων αποδείχθηκε.
