Wireshark Advanced: מדריך מלא ללכידה וניתוח

אינפורמטק דיגיטל » Recursos » Wireshark Advanced: מדריך מלא ללכידה וניתוח

אם אתם כבר מכירים את Wireshark ורוצים לקחת אותו צעד קדימה, מאמר זה הוא בשבילכם. נחקור כיצד למנף באמת את היכולות שלו, החל מלכידות בסיסיות ועד לניתוח תנועה מתקדם , כולל מסננים, צבעים, פרוטוקולים ויישומים מעשיים בניתוח אבטחת סייבר , אופטימיזציה של ביצועים ופתרון בעיות.

לאורך כל הטקסט הזה, תמצאו מושגים רבים המוסברים ברוגע ובספרדית פשוטה ויומיומית - מושגים הנמצאים בדרך כלל בכלים מקצועיים, קורסים, ספרים ומעבדות כמו TryHackMe - אך מיושמים בהקשר מעשי. המטרה היא שעד שתסיימו לקרוא, תוכלו לנווט בקלות בממשק Wireshark, ללכוד את מה שאתם צריכים ולהבין מה קורה ברשת שלכם.

מה זה Wireshark ולמה זה כל כך חשוב?

Wireshark הוא למעשה מנתח פרוטוקולי רשת (מרחרח חבילות קלאסי) המאפשר לך לצפות, אחת אחת, בחבילות הנכנסות ויוצאות מממשקי הרשת שלך, בין אם מדובר ברשתות Wi-Fi ציבוריות , Ethernet או אחרות. כל חבילה נלכדת, מבודדת ומוצגת בזמן אמת, עם כל פרטיה.

אנחנו מדברים על תוכנה חינמית וקוד פתוח , המופצת תחת הרישיון הציבורי הכללי של GNU גרסה 2. משמעות הדבר היא שאין גרסאות מקוצרות או "מהדורות הדגמה": מה שאתה מוריד הוא הגרסה המלאה, עם כל התכונות, וכל מפתח יכול לבדוק את הקוד שלו כדי לוודא שהוא לא עושה שום דבר חשוד.

הפרויקט מנוהל על ידי קרן Wireshark , ארגון ללא מטרות רווח המרכז את הפיתוח, התיעוד וההפצה של התוכנה. חברות ואנשי מקצוע רבים המסתמכים על Wireshark לעבודתם תורמים תרומות, מה ששומר על הכלי בחיים ומאפשר לו להמשיך להתפתח.

Wireshark זמין עבור הפצות Windows, macOS ו-Linux כמו Ubuntu , וניתן להוריד אותו מהאתר הרשמי שלו, wireshark.org. לאחר ההתקנה, תראו ממשק שעשוי להיראות בתחילה מכריע: מאות שורות המשתנות במהירות, עמודות עם כתובות IP, פרוטוקולים, אורכים, חותמות זמן... אבל כל זה זהב טהור לאבחון תקלות, גילוי התקפות או הבנת מה המכשירים שלכם עושים.

ממשק Wireshark: פאנלים, העדפות ותחילת העבודה

כאשר פותחים את Wireshark, המסך מאורגן למספר פאנלים עיקריים: רשימת החבילות, פרטי החבילה שנבחרה , ותצוגה גולמית (בייטים הקסדצימליים ו-ASCII). הבנת פאנלים אלה חיונית לעבודה יעילה.

הפאנל העליון מציג את כל החבילות שנתפסו. כל שורה מתאימה לחבילה וכוללת מידע כגון מספר חבילה, שעה, כתובת IP של מקור, כתובת IP של יעד, פרוטוקול וסיכום קצר. הפאנל האמצעי מציג את פירוט השכבות של החבילה (קישור, רשת, תעבורה, יישום), והפאנל התחתון מציג את הבייטים בפורמט הקסדצימלי ואת ייצוג הטקסט שלהם.

מתפריט ההגדרות, ניתן לפתוח את ההעדפות של Wireshark ולהתאים דברים כמו פורמט הזמן, אופן הצגת הפאנלים, שפת השדות, או אפילו להסתיר אלמנטים מסוימים. לדוגמה, ניתן לשנות את פריסת הפאנלים או להשבית את הצגת בתים HEX אם אתם מעדיפים להתמקד רק בניתוח לוגי.

ניווט בתוך לכידה הוא גם חיוני: ניתן לעבור ישירות למספר חבילה ספציפי, לקפוץ לראשון או האחרון ברשימה, ולנוע בין שיחות באמצעות קיצורי מקלדת. יתר על כן, ניתן לסמן חבילות בסימניות כדי לחזור אליהן מאוחר יותר , וזה מאוד שימושי כשעוקבים אחר זרימה ארוכה וצריך לזכור נקודות מפתח מסוימות.

לכידת תעבורה: ממשקים, מגבלות וסוגי חבילות

לפני הניתוח, עליך לבצע ללכוד. Wireshark מאפשר לך לבחור באיזה ממשק רשת ברצונך להאזין : כרטיס ה-Ethernet, Wi-Fi, ממשקים וירטואליים, מנהרות וכו'. לא כל הממשקים תומכים באותה רמת פירוט, אך באופן כללי תוכל לראות את התעבורה שחוצה את המכשיר שלך ואפילו, במצבים מסוימים, את התעבורה הזורמת ברשת המקומית שלך.

לצורך תרגול, נפוץ מאוד לעבוד עם לכידות מוגבלות. ניתן, לדוגמה, להתחיל לכידה מוגבלת ל -1.000 חבילות , או להגדיר אותה כך שתעצור אוטומטית לאחר 5 שניות. זה שימושי כדי להימנע מקבצים ענקיים ולהתמקד בחלונות זמן ספציפיים של פעילות.

Wireshark תומך גם במסנני לכידה, המאפשרים לך להקליט רק מנות מסוימות מההתחלה. דוגמה אופיינית היא לכידת תעבורת UDP או TCP בלבד . לדוגמה, אתה יכול להתחיל לכידה שלוכדת רק מנות UDP אם אתה מעוניין במשחקים מקוונים או בשירותי סטרימינג, או להגביל את הלכידה ל-TCP כשאתה רוצה ללמוד הפעלות HTTP, TLS, FTP וכו'.

לאחר שתקבלו את מה שאתם צריכים, תוכלו לשמור את התוצאה בקובץ עם הסיומת .pcap או .pcapng, לדוגמה כ- "example_tcp.pcap" , ולסגור את Wireshark. לאחר מכן תוכלו לפתוח מחדש את התוכנה, לטעון את הקובץ ולנתח אותו כרצונכם, מבלי שהתעבורה תמשיך לנוע בזמן אמת ובלי סיכון לאובדן דבר.

עבודה עם זמן: ציונים, הבדלים וניתוח זמני

שדה הזמן הוא אחד החזקים ביותר ב-Wireshark. ברשימת החבילות, ניתן לראות מתי כל חבילה נלכדה, אך ניתן גם למדוד כמה זמן עבר בין תחילת הלכידה לבין חבילה ספציפית , או בין שתי חבילות ספציפיות. לדוגמה, ניתן להסתכל על הזמן שלוקח להגיע לחבילה 300 כדי לראות כיצד מתפתחת תקשורת.

תכונה מעשית מאוד היא היכולת להגדיר חבילה כנקודת ייחוס בזמן אפס . זה מאפשר לך להגדיר מחדש את הזמן "0" בכל נקודה בלכידה, כך שכל שאר הזמנים יימדדו יחסית לחבילה זו. זה אידיאלי כאשר אתה רוצה ללמוד חילופי דברים ספציפיים ולא את כל הסשן.

על ידי שילוב חותמות זמן עם מסננים ומעקב אחר זרימה (מעקב אחר זרם TCP, מעקב אחר זרם UDP), ניתן לראות במדויק את ההשהיה, העיכובים, ההעברה וההעברה החוזרת המתרחשים ברשת. זה שימושי במיוחד לאבחון השהיה, צווארי בקבוק או אובדן חבילות.

ניתוח שכבתי: מה-MAC לאפליקציה

אחת מיתרונותיה הגדולים ביותר של Wireshark היא שהיא מאפשרת לך לראות כל חבילה מחולקת לפי שכבות של מודל OSI או TCP/IP. החל מלמטה, תוכל לראות איזה מדיה פיזית או סוג קישור נמצאים בשימוש (לדוגמה, Ethernet) וסוג הממשק התומך בו.

בשכבה 2 (קישור נתונים), ניתן לבדוק איזה פרוטוקול נמצא בשימוש , בדרך כלל Ethernet II ברשתות מודרניות. כאן השדה "EtherType" הופך לחשוב, מכיוון שהוא עשוי להציג ערכים כגון 0x0800 (המציין IPv4) או מזהים פחות נפוצים אחרים. ניתן לחפש חבילות עם ערך ספציפי, כגון 0x0800 או 0xEBF2, באמצעות מסננים או חיפושים בתוך הלכידה.

במעבר לשכבה 3, תמצאו את פרוטוקול הרשת, בדרך כלל IPv4 או IPv6 . כאן מוצגות כתובות ה-IP של המקור והיעד, וניתן להרחיב את עץ השדות כדי לראות פרטים נוספים כגון TTL, פיצול, אפשרויות וכן הלאה. זיהוי כתובות ה- IP של המקור והיעד הוא אחת המשימות הבסיסיות ביותר, אך השכיחות ביותר, בעת פתרון בעיות.

בשכבה 4, Wireshark אומר לך אם אתה מתמודד עם TCP, UDP או פרוטוקולי תעבורה אחרים . כאן אתה רואה את פורטי המקור והיעד, דגלי TCP (SYN, ACK, FIN, RST), מספרי רצף ואישור, ופרטים מרכזיים להבנת האם חיבור יציב, אם יש שידורים חוזרים, אם חבילות הולכות לאיבוד, או אם הוא נסגר בפתאומיות.

לבסוף, בשכבת האפליקציה, Wireshark מנסה לפרש את התוכן בהתבסס על הפרוטוקול שזוהה: HTTP, HTTPS (TLS/SSL), DNS, DHCP, FTP, RTP, SIP, ועוד רבים אחרים. כאשר התעבורה אינה מוצפנת, ניתן אפילו לראות את התוכן בטקסט רגיל, כולל כותרות HTTP, פקודות FTP ואפילו אישורים אם הם נשלחים בצורה לא מאובטחת.

חיפושים, סינונים ומחרוזות טקסט בתוך חבילות

עבודה עם לכידות גדולות דורשת שימוש במסננים וביכולות חיפוש חזקות. בחלק העליון של Wireshark, יש את סרגל המסנן של התצוגה , המאפשר לך להציג רק את החבילות שעומדות בתנאים מסוימים: לדוגמה, `ip.addr == 192.168.1.50` כדי להתמקד במכשיר ספציפי, או `http` כדי לראות רק תעבורת אינטרנט.

אם אתם חושדים שסיסמאות או נתונים רגישים מועברים ללא הצפנה בחבילה שנלכדה, תוכלו לחפש מחרוזות טקסט בתוך תוכן החבילה. תוכלו לבדוק אם חבילות כלשהן מכילות, לדוגמה, את המילה "pass" או "content" בנתונים שנלכדו. תוכלו גם לבדוק אם מחרוזות אלו מופיעות בסיכום או במידע של החבילה, ולא רק בגוף החבילה.

זה שימושי במיוחד בעת ניתוח פרוטוקולים לא מאובטחים כמו HTTP או FTP. בסביבות אימון כמו TryHackMe, אחת המשימות האופייניות היא לחלץ אישורים שנשלחים בטקסט רגיל דרך שירותים אלה, או לזהות טפסים ששולחים מידע לא מוצפן, דבר המהווה סיכון אבטחה ברור.

מעבר למחרוזות טקסט, ניתן להשתמש במסננים עדינים הרבה יותר על ידי שילוב שדות פרוטוקול, אופרטורים לוגיים והשוואות. זה מאפשר לך, למשל, לבודד רק בקשות DNS שנכשלו, חבילות TCP עם שגיאות או הודעות מזרם RTP ספציפי.

צבעים וכללי הדגשה לנראות טובה יותר של התנועה

Wireshark כולל מערכת קידוד צבעים לחבילות שעוזרת לך להבחין במהירות בין סוגי תעבורה שונים. ירוק מקושר בדרך כלל לתעבורת TCP "רגילה", כחול לתעבורת UDP או DNS, ושחור או אדום מציינים שגיאות או אנומליות. רק על ידי התבוננות במסך, תוכל לדעת אם הכל עובד בצורה סבירה או אם יש יותר מדי שורות בעייתיות.

מתפריט ההגדרות, ניתן להפעיל או להשבית את התצוגה המקודדת בצבעים. במידת הצורך, ניתן גם לשנות את צבע הרקע של כללים ספציפיים ; לדוגמה, ליצור כלל שמדגיש את כל הפעלות ה-TCP בגוון מסוים, או שמסמן שידורים חוזרים או מנות בעלות צורה פגומה בצבע שונה.

בנוסף לשינוי צבעים, יש לך אפשרות להשבית כלל ספציפי מבלי למחוק אותו, כך שהוא יפסיק לצבוע חבילות אך תוכל להפעיל אותו מחדש מאוחר יותר. זה מאוד שימושי כשאתה בודק ערכות שונות ואינך רוצה לאבד את ההגדרות הקיימות שלך.

טכניקה מעניינת נוספת היא לקודד בצבע את כל החבילות השייכות לאותה שיחת TCP או UDP . בדרך זו, ניתן לעקוב באופן ויזואלי אחר הזרימה כולה בין שתי נקודות קצה, אפילו כשהיא מעורבבת עם מאות חיבורים מקבילים אחרים. לאחר מכן ניתן לנווט בין החבילות המודגשות הללו ביתר קלות.

אבחון בעיות רשת בבית ובחברה

למרות ש-Wireshark הוא כלי ברמה מקצועית, הוא יכול גם לעזור למשתמשים ביתיים להבין מה קורה עם החיבור שלהם. לדוגמה, אם אתם חווים השהיה או הפרעות Wi-Fi בזמן משחק מקוון , תוכלו לנתח את התעבורה כדי לראות אם חבילות הולכות לאיבוד, מגיעות בצורה לא מסודרת , או חווים עיכובים מוגזמים בחלקים מסוימים של החיבור.

בהקשר זה, מקובל להתמקד בתעבורת UDP, המשמשת משחקים ויישומים רבים בזמן אמת. אם, בעת סינון לפי UDP, אתם רואים שורות רבות המסומנות בצבעי שגיאה, חבילות בסדר לא תקין או שידורים חוזרים, תדעו שהבעיה אינה רק פינג גבוה בבדיקה, אלא משהו עמוק יותר שקשור ליציבות הנתיב או לרוויה של צומת.

Wireshark שימושי מאוד גם כאשר דף אינטרנט לא נטען, מדפסת נעלמת מהרשת , או שירות פנימי נכשל. עם הצילום שלפניכם, תוכלו לראות בדיוק היכן התקשורת מתקלקלת: האם הבקשה עוזבת את המחשב שלכם אך לעולם לא מקבלת תגובה, אם יש שגיאות DNS, אם השרת מגיב עם קוד שגיאה וכן הלאה.

מנקודת מבט של פרטיות, כלי זה מאפשר לך לראות אילו נתונים המכשירים שלך שולחים דרך האינטרנט. הוא יכול לזהות אם מכשיר "מדבר יותר מדי" לענן, מתחבר לשרתים לא ידועים או שולח מידע לא מוצפן. כל זה עוזר לך לבקר את התנהגותם של מכשירי IoT , טלפונים ניידים, מצלמות IP, טלוויזיות חכמות וכל גאדג'ט מחובר אחר.

ברשתות ביתיות עם מכשירים רבים, ניתן לבודד את כתובת ה-IP של כל מכשיר ולבחון לאילו שרתים הוא מתחבר, באיזו תדירות ואיזה סוג תוכן הוא משדר. בדרך זו, ניתן להבין טוב יותר את התעבורה הגולמית של הרשת ולקבל החלטות כגון פילוח מכשירים, חסימת דומיינים או שינוי תצורות.

ניתוח מתקדם: HTTP, DNS, סריקות רשת והתקפות

בסביבות מתקדמות יותר, Wireshark הופך לבעל ברית מרכזי לניתוח אבטחה וחקירת אירועים. הוא מאפשר מחקר מפורט של תעבורת HTTP, שאילתות ותגובות DNS, סריקות פורטים עם Nmap , ניסיונות הרעלת ARP, מנהרות SSH ועוד.

בעזרת HTTP, ניתן לבדוק כותרות, קודי תגובה, כתובות URL מבוקשות, וכאשר אין הצפנה, אפילו את תוכן הטפסים או הקבצים. בעזרת DNS, ניתן לראות אילו דומיינים נבדקים, אילו שרתים נבדקים, והאם יש תגובות חשודות או דומיינים שאינם תואמים את השימוש הרגיל בציוד.

סריקות Nmap משאירות דפוסים אופייניים ברשת: ניסיונות חיבור מרובים לפורטים רבים, שימוש בדגלי TCP ספציפיים וכו'. בעזרת המסננים המתאימים, ניתן לזהות פעילויות אלו ולאשר אם מישהו ממפה שירותים חשופים בתשתית שלך.

ניתן לזהות זיופים/הרעלת ARP גם על ידי התבוננות באופן שבו שיוכי כתובות IP ו-MAC משתנים ברשת המקומית. ועם מנהרות SSH, למרות שהתוכן מוצפן, עדיין ניתן לנתח דפוסי חיבור, משך ההפעלה ונפח הנתונים המועברים.

רבים מהתרגילים הללו הם חלק ממעבדות מעשיות כמו אלו ב-TryHackMe, המתמקדות בניתוח תעבורה זדונית או חשודה . תעבדו עם לכידות שנוצרו מראש כדי ללמוד כיצד לזהות אינדיקטורים של פגיעה, וקטורי תקיפה והתנהגות חריגה באמצעות Wireshark בלבד.

Wireshark 4.6.0 ב-macOS: מטא-נתונים וניתוח תהליכים של pktap

אחד השיפורים המעניינים ביותר עבור משתמשי מק מגיע עם Wireshark גרסה 4.6.0 , המציגה תמיכה מובנית במטא-דאטה של ​​macOS pktap. זה מאפשר לך לשייך כל חבילת רשת לתהליך המערכת שיצר אותה, ומציע רמת פירוט חזקה.

הודות לשילוב זה, Wireshark יכולה להציג מידע כגון PID (מזהה תהליך) ושם האפליקציה שממנה נוצרה התעבורה, יחד עם מטא-דאטה רלוונטיים אחרים. זה מפשט מאוד את ניפוי השגיאות באפליקציה, מכיוון שאתם יודעים בדיוק איזה רכיב פותח חיבורים, צורך רוחב פס או גורם לשגיאות.

המטא-דאטה כולל גם נתונים על מזהי זרימה וסטטיסטיקות של חבילות שנשמטו, מה שמאפשר ניתוח מפורט יותר של בעיות ביצועים. מידע זה נלכד בדרך כלל באמצעות tcpdump עם האפשרויות -ky ו- -K , ולאחר מכן מיובא ל-Wireshark, אשר מפרש ומציג בלוקים אלה בפורמט pcap-ng.

עבור צוותי פיתוח ואבטחה במערכת האקולוגית של אפל, זוהי קפיצת מדרגה משמעותית: הם יכולים לחקור אירועים עם ייחוס מדויק מאוד לתהליכים ספציפיים, לזהות התנהגות חריגה בתוך האפליקציות שלהם, ולאמת שמדיניות האבטחה והפרטיות אכן מקוימת.

יתר על כן, מתקין Wireshark 4.6.0 עבור macOS הוא אוניברסלי עבור ארכיטקטורות Arm64 ואינטל , ובכך מפשט את ההתקנה במחשבי מק מודרניים עם Apple Silicon ובמחשבים מעט ישנים יותר עם מעבדי אינטל.

Wireshark ככלי מקצועי: קורסים, ספרים וסביבות מודרניות

שימוש מתקדם ב-Wireshark הוא נושא חוזר בקורסי הכשרה ייעודיים, המציגים את התכונות החזקות ביותר שלו לביצוע משימות ניפוי שגיאות, ביקורת ואבטחה. קורסים אלה מלמדים כיצד להגדיר את הכלי מאפס , להתאים אותו אישית ולנתח את פרוטוקולי הרשת הנפוצים ביותר בסביבות ארגוניות.

כמות משמעותית של זמן מוקדשת בדרך כלל לפרוטוקולים כגון HTTP, FTP, SSL/TLS, DNS, DHCP, RTP, SIP ואחרים הנפוצים ב-Voice over IP, שירותי אינטרנט ותקשורת מוצפנת. נערכים מחקרי מקרה מעשיים כדי לאבחן מהירויות איטיות, בעיות באיכות שיחה, הפסקות שירות ותצורות שגויות.

במקביל, צצו ספרים ומשאבים מתקדמים, המתמקדים באנשי מקצוע בתחום הרשתות, מומחי אבטחת סייבר וסטודנטים המעוניינים לשלוט ב-Wireshark בתרחישים מודרניים. חומרים אלה משלבים בדרך כלל את תורת TCP/IP, TLS, ניתוח מנות ומסננים מתקדמים עם תרגילים מעשיים ומעבדות מודרכות.

גישה נפוצה היא לשלב את Wireshark עם כלי אבטחה וניטור אחרים, כגון Snort, Suricata, Zeek, או מחסנית ELK (Elasticsearch, Logstash, Kibana), בתוך פלטפורמות SIEM. הרעיון הוא להשתמש ב-Wireshark לבדיקה מפורטת ברמה נמוכה, בעוד שהכלים האחרים מספקים קורלציה, התראות ולוחות מחוונים ברמה גבוהה.

הכלי מכסה גם יישומים ספציפיים ברשתות ומערכות IoT המשתמשות בבינה מלאכותית, שבהם נראות התעבורה חיונית לגילוי פגיעויות, מכשירים בעלי תצורה שגויה או תקשורת בלתי צפויה. שליטה ב-Wireshark בסביבות אלו הופכת את הכלי למשאב אסטרטגי לאבטחה ואופטימיזציה של רשתות מורכבות.

בסך הכל, Wireshark הופך מכלי זיהוי פשוט לכלי בסיסי בניטור מתקדם, אבחון תקלות, ניתוח איומים והבנה מעמיקה של אופן ההתנהגות של יישומים ושירותים ברשת.

עם כל מה שהוא מציע, החל מפונקציות לכידה וסינון בסיסיות ועד ליכולות מתקדמות לניתוח לפי פרוטוקול, צבעים, זמנים ומטא-דאטה של ​​תהליכים, ברור ש- Wireshark הוא כלי חיוני לכל מי שצריך להבין מה באמת קורה ברשת שלו, בין אם בבית, בעסק קטן או בארגון גדול.