Wireshark Advanced: Pilnīgs ceļvedis attēlu uzņemšanai un analīzei

Informatec Digital » Resursi » Wireshark Advanced: Pilnīgs ceļvedis attēlu uzņemšanai un analīzei

Ja jau esat iepazinies ar Wireshark un vēlaties to apgūt vēl vairāk, šis raksts ir domāts jums. Mēs izpētīsim, kā patiesi izmantot tā iespējas, sākot no pamata datu uztveršanas līdz padziļinātai datplūsmas analīzei , tostarp filtriem, krāsām, protokoliem un praktiskiem pielietojumiem kiberdrošības analīzē , veiktspējas optimizācijā un problēmu novēršanā.

Šajā tekstā daudzi jēdzieni ir izskaidroti mierīgi un vienkāršā, ikdienas spāņu valodā — jēdzieni, kas parasti atrodami profesionālos rīkos, kursos, grāmatās un laboratorijas nodarbībās, piemēram, TryHackMe —, taču tie ir piemēroti praktiskā kontekstā. Mērķis ir panākt, lai, beidzot lasīšanu, jūs varētu viegli orientēties Wireshark saskarnē, uztvert nepieciešamo informāciju un saprast, kas notiek jūsu tīklā.

Kas ir Wireshark un kāpēc tas ir tik svarīgs?

Wireshark būtībā ir tīkla protokolu analizators (klasisks pakešu snifers), kas ļauj pa vienam skatīt paketes, kas ienāk un iziet no tīkla saskarnēm, neatkarīgi no tā, vai tie ir publiski Wi-Fi tīkli , Ethernet vai citi. Katra pakete tiek uztverta, izolēta un parādīta reāllaikā ar visām tās detaļām.

Mēs runājam par bezmaksas un atvērtā pirmkoda programmu , kas tiek izplatīta saskaņā ar GNU Vispārējo publisko licenci v2. Tas nozīmē, ka nav saīsinātu versiju vai "demonstrācijas izdevumu": lejupielādējat pilnu versiju ar visām funkcijām, un jebkurš izstrādātājs var pārskatīt tās kodu, lai pārliecinātos, ka tajā nav nekādu aizdomīgu darbību.

Projektu pārvalda Wireshark fonds — bezpeļņas organizācija, kas koordinē programmatūras izstrādi, dokumentēšanu un izplatīšanu. Daudzi uzņēmumi un profesionāļi, kas savā darbā paļaujas uz Wireshark, ziedo līdzekļus, kas uztur rīku dzīvu un ļauj tam turpināt attīstīties.

Wireshark ir pieejams operētājsistēmām Windows, macOS un Linux, piemēram, Ubuntu , un to var lejupielādēt no oficiālās vietnes wireshark.org. Pēc instalēšanas jūs redzēsiet saskarni, kas sākotnēji varētu šķist sarežģīta: simtiem rindu, kas strauji mainās, kolonnas ar IP adresēm, protokoliem, garumiem, laika zīmogiem… taču tas viss ir tīrs zelts kļūdu diagnosticēšanai, uzbrukumu noteikšanai vai ierīču darbības izpratnei.

Wireshark saskarne: paneļi, preferences un darba sākšana

Atverot Wireshark, ekrāns ir sakārtots vairākos galvenajos paneļos: pakotņu sarakstā, atlasītās pakotnes detaļās un neapstrādātā skatā (heksadecimālie un ASCII baiti). Šo paneļu izpratne ir būtiska efektīvam darbam.

Augšējā panelī tiek parādīti visi uztvertie paketes. Katra rinda atbilst paketei un ietver informāciju, piemēram, paketes numuru, laiku, avota IP adresi, mērķa IP adresi, protokolu un īsu kopsavilkumu. Vidējā panelī tiek parādīts paketes slāņu sadalījums (saite, tīkls, transports, lietojumprogramma), bet apakšējā panelī tiek parādīti baiti heksadecimālā formātā un to teksta attēlojums.

Iestatījumu izvēlnē varat atvērt Wireshark preferences un pielāgot tādus iestatījumus kā laika formāts, paneļu attēlošanas veids, lauku valoda vai pat paslēpt noteiktus elementus. Piemēram, varat mainīt paneļa izkārtojumu vai atspējot HEX baitu attēlošanu, ja vēlaties koncentrēties tikai uz loģisko analīzi.

Svarīga ir arī navigācija tveršanas laikā: varat tieši pāriet uz konkrētu paketes numuru, pāriet uz pirmo vai pēdējo sarakstā un pārvietoties pa sarunām, izmantojot īsinājumtaustiņus. Turklāt paketes var pievienot grāmatzīmēm, lai vēlāk pie tām atgrieztos , kas ir ļoti noderīgi, sekojot garai plūsmai un jāatceras noteikti svarīgi punkti.

Satiksmes uztveršana: saskarnes, ierobežojumi un pakešu veidi

Pirms analīzes ir nepieciešams veikt datu uztveršanu. Wireshark ļauj izvēlēties, kuru tīkla saskarni vēlaties klausīties : Ethernet karti, Wi-Fi, virtuālās saskarnes, tuneļus utt. Ne visas saskarnes atbalsta vienādu detalizācijas līmeni, taču parasti varēsiet redzēt datplūsmu, kas šķērso jūsu ierīci, un pat noteiktos režīmos datplūsmu, kas cirkulē jūsu lokālajā tīklā.

Prakses nolūkos ļoti bieži tiek strādāts ar ierobežotu uztveršanu. Piemēram, varat sākt uztveršanu, kas ierobežota līdz 1.000 paketēm , vai konfigurēt to tā, lai tā automātiski apstātos pēc 5 sekundēm. Tas ir noderīgi, lai izvairītos no lieliem failiem un koncentrētos uz konkrētiem darbības laika logiem.

Wireshark atbalsta arī uztveršanas filtrus, kas ļauj no paša sākuma ierakstīt tikai noteiktus paketes. Tipisks piemērs ir tikai UDP vai TCP datplūsmas uztveršana . Piemēram, varat sākt uztveršanu, kas uztver tikai UDP paketes, ja jūs interesē tiešsaistes spēles vai straumēšanas pakalpojumi, vai ierobežot uztveršanu līdz TCP, ja vēlaties pētīt HTTP, TLS, FTP u.c. sesijas.

Kad esat ieguvis visu nepieciešamo, rezultātu varat saglabāt failā ar paplašinājumu .pcap vai .pcapng, piemēram, kā “example_tcp.pcap” , un aizvērt Wireshark. Pēc tam varat atkārtoti atvērt programmu, ielādēt failu un analizēt to, neradot nepārtrauktu datplūsmas plūsmu reāllaikā un neriskējot neko zaudēt.

Darbs ar laiku: atzīmes, atšķirības un laika analīze

Laika lauks ir viens no jaudīgākajiem Wireshark elementiem. Pakešu sarakstā var redzēt, kad katra pakete tika uztverta, bet var arī izmērīt, cik daudz laika ir pagājis starp uztveršanas sākumu un konkrētu paketi vai starp divām konkrētām paketēm. Piemēram, var aplūkot laiku, kas nepieciešams, lai sasniegtu 300. paketi, lai redzētu, kā attīstās komunikācija.

Ļoti praktiska funkcija ir iespēja iestatīt paketi kā nulles laika atskaites punktu . Tas ļauj jebkurā uztveršanas brīdī no jauna definēt laiku "0", lai visi pārējie laiki tiktu mērīti attiecībā pret šo paketi. Tas ir ideāli piemērots, ja vēlaties pētīt konkrētu apmaiņu, nevis visu sesiju.

Apvienojot laika zīmogus ar filtriem un plūsmas izsekošanu (sekojiet TCP plūsmai, sekojiet UDP plūsmai), jūs varat diezgan precīzi redzēt tīklā notiekošo latentumu, aizkaves, pārsūtīšanu un atkārtotu pārraidi . Tas ir īpaši noderīgi, lai diagnosticētu aizkavi, sastrēgumus vai pakešu zudumu.

Slāņveida analīze: no MAC līdz lietojumprogrammai

Viena no Wireshark lielākajām priekšrocībām ir tā, ka tā ļauj redzēt katru paketi, kas sadalīta pa OSI vai TCP/IP modeļa slāņiem. Sākot no apakšas, var redzēt, kāds fiziskais datu nesējs vai saites veids tiek izmantots (piemēram, Ethernet) un kāda veida saskarne to atbalsta.

2. slānī (datu saite) var pārbaudīt, kurš protokols tiek izmantots , mūsdienu tīklos parasti tas ir Ethernet II. Šeit svarīgs kļūst lauks "EtherType", jo tajā var tikt parādītas tādas vērtības kā 0x0800 (norāda IPv4) vai citi retāk sastopami identifikatori. Izmantojot filtrus vai meklēšanu tveršanas ietvaros, var meklēt paketes ar noteiktu vērtību, piemēram, 0x0800 vai 0xEBF2.

Pārejot uz 3. slāni, jūs atradīsiet tīkla protokolu, kas parasti ir IPv4 vai IPv6 . Šeit tiek parādītas avota un mērķa IP adreses, un jūs varat izvērst lauka koku, lai skatītu citu informāciju, piemēram, TTL, fragmentāciju, opcijas utt. Avota un mērķa IP adrešu identificēšana ir viens no visvienkāršākajiem, tomēr visbiežāk veicamajiem uzdevumiem problēmu novēršanā.

4. slānī Wireshark norāda, vai jūs strādājat ar TCP, UDP vai citiem transporta protokoliem . Šeit jūs redzat avota un mērķa portus, TCP karodziņus (SYN, ACK, FIN, RST), secības un apstiprinājuma numurus, kā arī galveno informāciju, lai saprastu, vai savienojums ir stabils, vai notiek atkārtota pārraide, vai tiek zaudētas paketes vai vai tas ir pēkšņi pārtraukts.

Visbeidzot, lietojumprogrammu līmenī Wireshark mēģina interpretēt saturu, pamatojoties uz noteikto protokolu: HTTP, HTTPS (TLS/SSL), DNS, DHCP, FTP, RTP, SIP un daudziem citiem. Ja datplūsma nav šifrēta, saturu ir iespējams redzēt pat vienkāršā tekstā, tostarp HTTP galvenes, FTP komandas un pat akreditācijas datus, ja tie tiek sūtīti nedroši.

Meklēšana, filtri un teksta virknes pakotnēs

Darbam ar lieliem uztveršanas apjomiem ir nepieciešami jaudīgi filtri un meklēšanas iespējas. Wireshark augšdaļā ir attēlošanas filtra josla , kas ļauj parādīt tikai tās paketes, kas atbilst noteiktiem nosacījumiem: piemēram, `ip.addr == 192.168.1.50`, lai koncentrētos uz konkrētu ierīci, vai `http`, lai skatītu tikai tīmekļa trafiku.

Ja jums ir aizdomas, ka uztvertajā paketē paroles vai sensitīvi dati tiek pārsūtīti nešifrēti, varat meklēt teksta virknes paketes saturā. Varat pārbaudīt, vai kādā no paketēm uztvertajos datos ir, piemēram, vārds "pass" vai "content" . Varat arī pārbaudīt, vai šīs virknes parādās paketes kopsavilkumā vai informācijā, ne tikai pamattekstā.

Tas ir īpaši noderīgi, analizējot nedrošus protokolus, piemēram, HTTP vai FTP. Apmācības vidēs, piemēram, TryHackMe, viens no tipiskajiem uzdevumiem ir iegūt akreditācijas datus, kas nosūtīti vienkāršā tekstā, izmantojot šos pakalpojumus, vai noteikt veidlapas, kas sūta nešifrētu informāciju, kas rada acīmredzamu drošības risku.

Papildus teksta virknēm varat izmantot daudz smalkākus filtrus, apvienojot protokola laukus, loģiskos operatorus un salīdzinājumus. Tas ļauj, piemēram, izolēt tikai neveiksmīgus DNS pieprasījumus, TCP paketes ar kļūdām vai ziņojumus no konkrētas RTP plūsmas.

Krāsas un izcelšanas noteikumi labākai satiksmes redzamībai

Wireshark ietver krāsu kodēšanas sistēmu pakešu attēlošanai , kas palīdz ātri atšķirt dažādus datplūsmas veidus. Zaļā krāsa parasti tiek saistīta ar "normālu" TCP datplūsmu, zilā — ar UDP vai DNS datplūsmu, bet melnā vai sarkanā krāsa norāda uz kļūdām vai anomālijām. Vienkārši aplūkojot ekrānu, var noteikt, vai viss darbojas pietiekami labi vai arī ir pārāk daudz problemātisku līniju.

Iestatījumu izvēlnē varat iespējot vai atspējot krāsu kodēto skatu. Ja nepieciešams, varat arī mainīt konkrētu noteikumu fona krāsu ; piemēram, izveidot noteikumu, kas iezīmē visas TCP sesijas noteiktā tonī vai atzīmē atkārtotas pārraides vai nepareizi veidotus paketes citā krāsā.

Papildus krāsu maiņai ir iespēja atspējot konkrētu noteikumu, to neizdzēšot, tādējādi tas aptur pakotņu krāsošanu, bet jūs to varat vēlāk atkārtoti aktivizēt. Tas ir ļoti noderīgi, testējot dažādas shēmas un nevēloties zaudēt esošos iestatījumus.

Vēl viena interesanta metode ir krāsu kodēšana visām paketēm, kas pieder vienai un tai pašai TCP vai UDP sarunai . Tādā veidā jūs varat vizuāli izsekot visai plūsmai starp diviem galapunktiem, pat ja tā ir sajaukta ar simtiem citu paralēlu savienojumu. Pēc tam jūs varat daudz vieglāk pārvietoties starp šīm iezīmētajām paketēm.

Tīkla problēmu diagnostika mājās un uzņēmumā

Lai gan Wireshark ir profesionāla līmeņa rīks, tas var arī palīdzēt mājas lietotājiem saprast, kas notiek ar viņu savienojumu. Piemēram, ja, spēlējot tiešsaistes spēles, rodas aizture vai Wi-Fi traucējumi , varat analizēt datplūsmu, lai redzētu, vai paketes netiek pazaudētas, pienāk nepareizā secībā vai rodas pārmērīgas aizkaves noteiktās savienojuma daļās.

Šajā kontekstā parasti koncentrējas uz UDP trafiku, ko izmanto daudzas spēles un reāllaika lietojumprogrammas. Ja, filtrējot pēc UDP, redzat daudzas rindas, kas apzīmētas ar kļūdu krāsām, nesakārtotas paketes vai atkārtotu pārraidi, jūs zināt, ka problēma nav tikai augsts ping testā, bet gan kaut kas dziļāk saistīts ar maršruta stabilitāti vai mezgla piesātinājumu.

Wireshark ir arī ļoti noderīgs, ja tīmekļa lapa netiek ielādēta, printeris pazūd no tīkla vai rodas iekšēja pakalpojuma kļūme. Ar redzamo failu varat precīzi redzēt, kur rodas komunikācijas problēmas: vai pieprasījums atstāj datoru, bet nekad nesaņem atbildi, vai ir DNS kļūdas, vai serveris atbild ar kļūdas kodu utt.

No privātuma viedokļa šis rīks ļauj jums redzēt, kādus datus jūsu ierīces sūta internetā. Tas var noteikt, vai ierīce "pārāk daudz runā" ar mākoni, uztur savienojumus ar nezināmiem serveriem vai sūta nešifrētu informāciju. Tas viss palīdz jums auditēt lietu interneta ierīču , mobilo tālruņu, IP kameru, viedtelevizoru un jebkuras citas savienotas ierīces darbību .

Mājas tīklos ar daudzām ierīcēm var izolēt katras ierīces IP adresi un novērot, ar kuriem serveriem tā izveido savienojumu, cik bieži un kāda veida saturu tā pārraida. Tādā veidā jūs labāk izprotat sava tīkla neapstrādāto datplūsmu un varat pieņemt lēmumus, piemēram, segmentēt ierīces, bloķēt domēnus vai mainīt konfigurācijas.

Paplašināta analīze: HTTP, DNS, tīkla skenēšana un uzbrukumi

Sarežģītākās vidēs Wireshark kļūst par galveno sabiedroto drošības analīzē un incidentu izmeklēšanā. Tas ļauj detalizēti izpētīt HTTP datplūsmu, DNS vaicājumus un atbildes, portu skenēšanu ar Nmap , ARP saindēšanās mēģinājumus, SSH tuneļus un daudz ko citu.

Izmantojot HTTP, varat pārskatīt galvenes, atbildes kodus, pieprasītos URL un, ja nav šifrēšanas, pat veidlapu vai failu saturu. Izmantojot DNS, redzēsiet, kuri domēni tiek atrisināti, kuriem serveriem tiek veikti vaicājumi un vai ir kādas aizdomīgas atbildes vai domēni, kas neatbilst iekārtas parastajam lietojumam.

Nmap skenēšana tīklā atstāj raksturīgus modeļus: vairākus savienojuma mēģinājumus ar daudzām pieslēgvietām, īpašu TCP karodziņu izmantošanu utt. Izmantojot atbilstošus filtrus, varat atklāt šīs darbības un apstiprināt, vai kāds jūsu infrastruktūrā kartē neaizsargātus pakalpojumus .

ARP viltošanu/saindēšanu var atklāt arī, novērojot, kā lokālajā tīklā tiek modificētas IP un MAC adrešu asociācijas. Un, izmantojot SSH tuneļus, pat ja saturs ir šifrēts, joprojām var analizēt savienojuma modeļus, sesijas ilgumu un pārsūtīto datu apjomu.

Daudzi no šiem vingrinājumiem ir daļa no praktiskajām laboratorijas nodarbībām, piemēram, tām, kas notiek TryHackMe, kur galvenā uzmanība tiek pievērsta ļaunprātīgas vai aizdomīgas datplūsmas analīzei . Jūs strādāsit ar iepriekš ģenerētiem tveršanas failiem, lai iemācītos atpazīt kompromitēšanas indikatorus, uzbrukuma vektorus un anomālu uzvedību, izmantojot tikai Wireshark.

Wireshark 4.6.0 operētājsistēmā macOS: pktap metadati un procesu analīze

Viens no interesantākajiem uzlabojumiem Mac lietotājiem ir Wireshark 4.6.0 versija , kas ievieš vietējo atbalstu macOS pktap metadatiem. Tas ļauj saistīt katru tīkla paketi ar sistēmas procesu, kas to ģenerēja, piedāvājot jaudīgu detalizācijas līmeni.

Pateicoties šai integrācijai, Wireshark var parādīt tādu informāciju kā PID (procesa ID) un datplūsmas izcelsmes lietojumprogrammas nosaukumu , kā arī citus atbilstošus metadatus. Tas ievērojami vienkāršo lietojumprogrammu atkļūdošanu, jo jūs precīzi zināt, kurš komponents atver savienojumus, patērē joslas platumu vai rada kļūdas.

Metadatos ir iekļauti arī dati par plūsmas identifikatoriem un atmesto pakešu statistiku, kas ļauj veikt detalizētāku veiktspējas problēmu analīzi. Šī informācija parasti tiek iegūta, izmantojot tcpdump ar opcijām -ky un -K , un pēc tam importēta programmā Wireshark, kas interpretē un attēlo šos blokus pcap-ng formātā.

Apple ekosistēmas izstrādes un drošības komandām tas ir ievērojams solis uz priekšu: tās var izmeklēt incidentus, ļoti precīzi attiecinot tos uz konkrētiem procesiem, atklāt anomālu uzvedību savās lietotnēs un apstiprināt, ka drošības un privātuma politikas patiešām tiek ievērotas.

Turklāt Wireshark 4.6.0 instalētājs operētājsistēmai macOS ir universāls Arm64 un Intel arhitektūrām , tādējādi vienkāršojot instalēšanu mūsdienu Mac datoros ar Apple Silicon un nedaudz vecākos datoros ar Intel procesoriem.

Wireshark kā profesionāls rīks: kursi, grāmatas un moderna vide

Wireshark padziļināta lietošana ir atkārtota tēma specializētajos apmācību kursos, kuros tiek demonstrētas tā jaudīgākās funkcijas atkļūdošanai, auditēšanai un drošības uzdevumiem. Šajos kursos tiek mācīts, kā konfigurēt rīku no nulles , pielāgot to un analizēt visizplatītākos tīkla protokolus korporatīvajā vidē.

Ievērojams laika daudzums parasti tiek veltīts tādiem protokoliem kā HTTP, FTP, SSL/TLS, DNS, DHCP, RTP, SIP un citiem, ko parasti izmanto balss pārraidē pār IP, tīmekļa pakalpojumos un šifrētā komunikācijā. Praktiski gadījumu pētījumi tiek veikti, lai diagnosticētu lēnu ātrumu, zvanu kvalitātes problēmas, pakalpojumu pārtraukumus un nepareizas konfigurācijas.

Paralēli ir parādījušās padziļinātas grāmatas un resursi, kas paredzēti tīkla speciālistiem, kiberdrošības speciālistiem un studentiem, kuri vēlas apgūt Wireshark mūsdienu situācijās. Šie materiāli parasti apvieno TCP/IP teoriju, TLS, pakešu analīzi un uzlabotus filtrus ar praktiskiem vingrinājumiem un vadītām laboratorijas nodarbībām.

Izplatīta pieeja ir integrēt Wireshark ar citiem drošības un uzraudzības rīkiem, piemēram, Snort, Suricata, Zeek vai ELK steku (Elasticsearch, Logstash, Kibana), SIEM platformās. Ideja ir izmantot Wireshark zema līmeņa, detalizētai pārbaudei, savukārt citi rīki nodrošina korelāciju, brīdinājumus un augsta līmeņa informācijas paneļus.

Tas aptver arī konkrētus lietojumus lietu interneta tīklos un sistēmās, kas izmanto mākslīgo intelektu, kur datplūsmas redzamība ir izšķiroša, lai atklātu ievainojamības, nepareizi konfigurētas ierīces vai negaidītu saziņu. Wireshark apgūšana šajās vidēs padara rīku par stratēģisku resursu sarežģītu tīklu drošībai un optimizācijai .

Kopumā Wireshark no vienkārša snifera kļūst par fundamentālu rīku uzlabotā uzraudzībā, kļūdu diagnostikā, draudu analīzē un dziļā izpratnē par to, kā lietojumprogrammas un pakalpojumi darbojas tīklā.

Ar visu, ko piedāvā Wireshark, sākot ar pamata uztveršanas un filtrēšanas funkcijām un beidzot ar uzlabotām analīzes iespējām pēc protokola, krāsām, laikiem un procesa metadatiem, ir skaidrs, ka tas ir būtisks rīks ikvienam, kam ir jāsaprot, kas patiesībā notiek viņu tīklā, neatkarīgi no tā, vai tas ir mājās, mazā uzņēmumā vai lielā organizācijā.