Wireshark Advanced: Një udhëzues i plotë për kapjet dhe analizat

Informatec Digital » Burime » Wireshark Advanced: Një udhëzues i plotë për kapjet dhe analizat

Nëse jeni tashmë të njohur me Wireshark dhe doni ta çoni një hap më tej, ky artikull është për ju. Do të shqyrtojmë se si t'i shfrytëzojmë vërtet aftësitë e tij, nga kapjet bazë deri te analiza e avancuar e trafikut , duke përfshirë filtrat, ngjyrat, protokollet dhe zbatimet praktike në analizën e sigurisë kibernetike , optimizimin e performancës dhe zgjidhjen e problemeve.

Gjatë gjithë këtij teksti, do të gjeni shumë koncepte të shpjeguara me qetësi dhe në spanjisht të thjeshtë e të përditshme - koncepte që gjenden zakonisht në mjete profesionale, kurse, libra dhe laboratorë si TryHackMe - por të zbatuara në një kontekst praktik. Qëllimi është që, kur të mbaroni së lexuari, të jeni në gjendje të lundroni në ndërfaqen e Wireshark me lehtësi, të kapni atë që ju nevojitet dhe të kuptoni se çfarë po ndodh në rrjetin tuaj.

Çfarë është Wireshark dhe pse është kaq i rëndësishëm?

Wireshark është në thelb një analizues i protokollit të rrjetit (një sniffer klasik i paketave) që ju lejon të shikoni, një nga një, paketat që hyjnë dhe dalin nga ndërfaqet e rrjetit tuaj, qofshin ato rrjete publike Wi-Fi , Ethernet apo të tjera. Çdo paketë kapet, izolohet dhe shfaqet në kohë reale, me të gjitha detajet e saj.

Po flasim për një program falas dhe me burim të hapur , të shpërndarë sipas Licencës Publike të Përgjithshme GNU v2. Kjo do të thotë se nuk ka versione të shkurtuara ose "edicione demo": ajo që shkarkoni është versioni i plotë, me të gjitha veçoritë, dhe çdo zhvillues mund ta rishikojë kodin e tij për t'u siguruar që nuk bën asgjë të dyshimtë.

Projekti menaxhohet nga Fondacioni Wireshark , një organizatë jofitimprurëse që koordinon zhvillimin, dokumentimin dhe shpërndarjen e softuerit. Shumë kompani dhe profesionistë që mbështeten te Wireshark për punën e tyre kontribuojnë me donacione, të cilat e mbajnë mjetin gjallë dhe i lejojnë atij të vazhdojë të evoluojë.

Wireshark është i disponueshëm për shpërndarjet Windows, macOS dhe Linux si Ubuntu , dhe mund të shkarkohet nga faqja e tij zyrtare e internetit, wireshark.org. Pasi të instalohet, do të shihni një ndërfaqe që fillimisht mund të duket e tepërt: qindra rreshta që ndryshojnë me shpejtësi, kolona me adresa IP, protokolle, gjatësi, pulla kohore… por e gjithë kjo është ar i pastër për diagnostikimin e defekteve, zbulimin e sulmeve ose kuptimin e asaj që po bëjnë pajisjet tuaja.

Ndërfaqja e Wireshark: panelet, preferencat dhe fillimi

Kur hapni Wireshark, ekrani është i organizuar në disa panele kryesore: lista e paketave, detajet e paketës së zgjedhur dhe pamja e papërpunuar (bajt heksadecimal dhe ASCII). Të kuptuarit e këtyre paneleve është thelbësore për të punuar në mënyrë efektive.

Paneli i sipërm shfaq të gjitha paketat e kapura. Çdo rresht korrespondon me një paketë dhe përfshin informacione të tilla si numri i paketës, koha, adresa IP e burimit, adresa IP e destinacionit, protokolli dhe një përmbledhje e shkurtër. Paneli i mesëm tregon ndarjen e shtresave të paketës (lidhja, rrjeti, transporti, aplikacioni), dhe paneli i poshtëm shfaq bajtet në format heksadecimal dhe përfaqësimin e tyre tekstual.

Nga menyja e cilësimeve, mund të hapni preferencat e Wireshark dhe të rregulloni gjëra të tilla si formati i kohës, mënyra se si shfaqen panelet, gjuha e fushave ose edhe të fshihni elementë të caktuar. Për shembull, mund të ndryshoni paraqitjen e panelit ose të çaktivizoni shfaqjen e bajteve HEX nëse preferoni të përqendroheni vetëm në analizën logjike.

Navigimi brenda një kapjeje është gjithashtu thelbësor: mund të shkoni direkt te një numër specifik pakete, të kaloni te i pari ose i fundit në listë dhe të lëvizni nëpër biseda duke përdorur shkurtoret e tastierës. Për më tepër, mund të vendosni faqeshënues në paketa për t'u rikthyer tek ato më vonë , gjë që është shumë e dobishme kur ndiqni një rrjedhë të gjatë dhe duhet të mbani mend pika të caktuara kyçe.

Kapja e trafikut: ndërfaqet, kufijtë dhe llojet e paketave

Para analizimit, duhet të kapni të dhënat. Wireshark ju lejon të zgjidhni ndërfaqen e rrjetit në të cilën dëshironi të dëgjoni : kartën Ethernet, Wi-Fi, ndërfaqet virtuale, tunelet, etj. Jo të gjitha ndërfaqet mbështesin të njëjtin nivel detajesh, por në përgjithësi do të jeni në gjendje të shihni trafikun që kalon nëpër pajisjen tuaj dhe madje, në disa mënyra, trafikun që qarkullon në rrjetin tuaj lokal.

Për praktikë, është shumë e zakonshme të punohet me kapje të kufizuara. Për shembull, mund të filloni një kapje të kufizuar në 1.000 paketa ose ta konfiguroni atë që të ndalet automatikisht pas 5 sekondash. Kjo është e dobishme për të shmangur skedarët e mëdhenj dhe për t'u përqendruar në dritare kohore specifike të aktivitetit.

Wireshark gjithashtu mbështet filtra kapjeje, duke ju lejuar të regjistroni vetëm paketa të caktuara që nga fillimi. Një shembull tipik është kapja vetëm e trafikut UDP ose TCP . Për shembull, mund të filloni një kapje që kap vetëm paketa UDP nëse jeni të interesuar në lojëra online ose shërbime transmetimi, ose ta kufizoni kapjen në TCP kur dëshironi të studioni seanca HTTP, TLS, FTP, etj.

Pasi të keni atë që ju nevojitet, mund ta ruani rezultatin në një skedar me prapashtesën .pcap ose .pcapng, për shembull si “example_tcp.pcap” , dhe ta mbyllni Wireshark-un. Pastaj mund ta rihapni programin, ta ngarkoni skedarin dhe ta analizoni atë sipas dëshirës, ​​pa vazhduar lëvizjen e trafikut në kohë reale dhe pa rrezikun e humbjes së asgjëje.

Puna me kohën: shenjat, ndryshimet dhe analiza kohore

Fusha e kohës është një nga më të fuqishmet në Wireshark. Në listën e paketave, mund të shihni se kur është kapur secila paketë, por gjithashtu mund të matni se sa kohë ka kaluar midis fillimit të kapjes dhe një pakete specifike , ose midis dy paketave specifike. Për shembull, mund të shikoni kohën që duhet për të arritur paketën 300 për të parë se si evoluon një komunikim.

Një veçori shumë praktike është aftësia për të vendosur një paketë si referencë në kohë zero . Kjo ju lejon të ripërcaktoni kohën "0" në çdo pikë të kapjes, në mënyrë që të gjitha kohët e tjera të maten në lidhje me atë paketë. Kjo është ideale kur doni të studioni një shkëmbim specifik në vend të të gjithë seancës.

Duke kombinuar vulat kohore me filtrat dhe gjurmimin e rrjedhës (ndiq rrjedhën TCP, ndiq rrjedhën UDP), mund të shihni me saktësi të mjaftueshme vonesën, vonesat, ridrejtimin dhe ritransmetimet që ndodhin në rrjet. Kjo është veçanërisht e dobishme për diagnostikimin e vonesave, bllokimeve ose humbjes së paketave.

Analiza e shtresuar: nga MAC në aplikacion

Një nga pikat e forta më të mëdha të Wireshark është se ju lejon të shihni çdo paketë të ndarë sipas shtresave të modelit OSI ose TCP/IP. Duke filluar nga poshtë, mund të shihni se çfarë lloj mediumi fizik ose lidhjeje po përdoret (për shembull, Ethernet) dhe llojin e ndërfaqes që e mbështet atë.

Në Shtresën 2 (lidhja e të dhënave), mund të kontrolloni se cili protokoll po përdoret , zakonisht Ethernet II në rrjetet moderne. Këtu fusha "EtherType" bëhet e rëndësishme, pasi mund të shfaqë vlera të tilla si 0x0800 (që tregon IPv4) ose identifikues të tjerë më pak të zakonshëm. Mund të kërkoni për paketa me një vlerë specifike, të tilla si 0x0800 ose 0xEBF2, duke përdorur filtra ose kërkime brenda kapjes.

Duke u ngjitur në Shtresën 3, do të gjeni protokollin e rrjetit, zakonisht IPv4 ose IPv6 . Këtu shfaqen adresat IP të burimit dhe destinacionit, dhe mund ta zgjeroni pemën e fushave për të parë detaje të tjera si TTL, fragmentimi, opsionet e kështu me radhë. Identifikimi i IP-ve të burimit dhe destinacionit është një nga detyrat më themelore, por edhe më të shpeshta, gjatë zgjidhjes së problemeve.

Në shtresën 4, Wireshark ju tregon nëse keni të bëni me TCP, UDP ose protokolle të tjera transporti . Këtu shihni portat burimore dhe destinacionore, flamujt TCP (SYN, ACK, FIN, RST), numrat e sekuencës dhe të konfirmimit, dhe detajet kryesore për të kuptuar nëse një lidhje është e qëndrueshme, nëse ka ritransmetime, nëse paketat po humbasin ose nëse është mbyllur papritur.

Së fundmi, në shtresën e aplikacionit, Wireshark përpiqet të interpretojë përmbajtjen bazuar në protokollin e zbuluar: HTTP, HTTPS (TLS/SSL), DNS, DHCP, FTP, RTP, SIP dhe shumë të tjerë. Kur trafiku nuk është i enkriptuar, është e mundur të shihet përmbajtja edhe në tekst të thjeshtë, duke përfshirë titujt HTTP, komandat FTP dhe madje edhe kredencialet nëse ato po dërgohen në mënyrë të pasigurt.

Kërkime, filtra dhe vargje teksti brenda paketave

Puna me kapje të mëdha kërkon përdorimin e filtrave dhe aftësive të fuqishme të kërkimit. Në krye të Wireshark, keni shiritin e filtrit të shfaqjes , i cili ju lejon të tregoni vetëm paketat që plotësojnë kushte të caktuara: për shembull, `ip.addr == 192.168.1.50` për t'u përqendruar në një pajisje specifike, ose `http` për të parë vetëm trafikun e uebit.

Nëse dyshoni se fjalëkalime ose të dhëna të ndjeshme po transmetohen të pakriptuara në një paketë të kapur, mund të kërkoni për vargje teksti brenda përmbajtjes së paketës. Mund të kontrolloni nëse ndonjë paketë përmban, për shembull, fjalën "kalim" ose "përmbajtje" në të dhënat e kapura. Gjithashtu mund të kontrolloni nëse këto vargje shfaqen në përmbledhjen ose informacionin e paketës, jo vetëm në trup.

Kjo është veçanërisht e dobishme kur analizohen protokolle të pasigurta si HTTP ose FTP. Në mjedise trajnimi si TryHackMe, një nga detyrat tipike është nxjerrja e kredencialeve të dërguara në tekst të thjeshtë përmes këtyre shërbimeve, ose zbulimi i formularëve që dërgojnë informacion të pakriptuar, gjë që përfaqëson një rrezik të dukshëm sigurie.

Përtej vargjeve të tekstit, mund të përdorni filtra shumë më të hollësishëm duke kombinuar fushat e protokollit, operatorët logjikë dhe krahasimet. Kjo ju lejon, për shembull, të izoloni vetëm kërkesat DNS të dështuara, paketat TCP me gabime ose mesazhet nga një rrjedhë specifike RTP.

Ngjyrat dhe rregullat e theksimit për dukshmëri më të mirë të trafikut

Wireshark përfshin një sistem të koduar me ngjyra për paketat që ju ndihmon të dalloni shpejt llojet e ndryshme të trafikut. Ngjyra jeshile zakonisht shoqërohet me trafikun "normal" TCP, ngjyra blu me trafikun UDP ose DNS, dhe ngjyra e zezë ose e kuqe tregon gabime ose anomali. Vetëm duke parë ekranin, mund të kuptoni nëse gjithçka po funksionon mjaft mirë apo nëse ka shumë linja problematike.

Nga menyja e cilësimeve, mund të aktivizoni ose çaktivizoni pamjen me kod ngjyrash. Nëse është e nevojshme, mund të modifikoni edhe ngjyrën e sfondit të rregullave specifike ; për shembull, krijoni një rregull që nxjerr në pah të gjitha seancat TCP në një nuancë të caktuar, ose që shënon ritransmetimet ose paketat e keqformuara në një ngjyrë të ndryshme.

Përveç ndryshimit të ngjyrave, keni mundësinë të çaktivizoni një rregull specifik pa e fshirë atë, kështu që ndalon ngjyrosjen e paketave, por mund ta riaktivizoni më vonë. Kjo është shumë e dobishme kur testoni skema të ndryshme dhe nuk doni të humbni cilësimet tuaja ekzistuese.

Një teknikë tjetër interesante është kodimi me ngjyra i të gjitha paketave që i përkasin të njëjtit bisedë TCP ose UDP . Në këtë mënyrë, mund të ndiqni vizualisht të gjithë rrjedhën midis dy pikave fundore, edhe kur është e përzier me qindra lidhje të tjera paralele. Pastaj mund të lundroni nëpër këto paketa të theksuara shumë më lehtë.

Diagnostikimi i problemeve të rrjetit në shtëpi dhe në kompani

Edhe pse Wireshark është një mjet i nivelit profesional, ai gjithashtu mund t'i ndihmojë përdoruesit e shtëpisë të kuptojnë se çfarë po ndodh me lidhjen e tyre. Për shembull, nëse përjetoni vonesë ose ndërhyrje të Wi-Fi ndërsa luani lojëra në internet , mund të analizoni trafikun për të parë nëse paketat po humbasin, po mbërrijnë jashtë renditjes ose po përjetojnë vonesa të tepërta përgjatë pjesëve të caktuara të lidhjes.

Në këtë kontekst, është e zakonshme të përqendrohemi te trafiku UDP, i cili përdoret nga shumë lojëra dhe aplikacione në kohë reale. Nëse, gjatë filtrimit sipas UDP, shihni shumë rreshta të shënuara me ngjyra gabimi, paketa jashtë renditjes ose ritransmetime, do ta dini se problemi nuk është vetëm një ping i lartë në një test, por diçka më e thellë që lidhet me stabilitetin e rrugës ose ngopjen e një nyjeje.

Wireshark është gjithashtu shumë i dobishëm kur një faqe interneti nuk ngarkohet, një printer zhduket nga rrjeti ose një shërbim i brendshëm dështon. Me kapjen para jush, mund të shihni saktësisht se ku prishet komunikimi: nëse kërkesa largohet nga kompjuteri juaj, por nuk merr kurrë një përgjigje, nëse ka gabime DNS, nëse serveri përgjigjet me një kod gabimi e kështu me radhë.

Nga pikëpamja e privatësisë, ky mjet ju lejon të shihni se çfarë të dhënash dërgojnë pajisjet tuaja në internet. Mund të zbulojë nëse një pajisje po "flet shumë" në cloud, po mban lidhje me servera të panjohur ose po dërgon informacion të pakriptuar. E gjithë kjo ju ndihmon të auditoni sjelljen e pajisjeve IoT , telefonave celularë, kamerave IP, televizorëve inteligjentë dhe çdo pajisjeje tjetër të lidhur.

Në rrjetet shtëpiake me shumë pajisje, mund të izoloni adresën IP të secilës pajisje dhe të vëzhgoni se me cilët serverë lidhet, sa shpesh dhe çfarë lloj përmbajtjeje transmeton. Në këtë mënyrë, e kuptoni më mirë trafikun e papërpunuar të rrjetit tuaj dhe mund të merrni vendime të tilla si segmentimi i pajisjeve, bllokimi i domeneve ose ndryshimi i konfigurimeve.

Analizë e avancuar: HTTP, DNS, skanime rrjeti dhe sulme

Në mjedise më të avancuara, Wireshark bëhet një aleat kyç për analizën e sigurisë dhe hetimin e incidenteve. Ai lejon studim të detajuar të trafikut HTTP, pyetjeve dhe përgjigjeve DNS, skanimeve të porteve me Nmap , përpjekjeve të helmimit ARP, tuneleve SSH dhe shumë më tepër.

Me HTTP, mund të rishikoni titujt, kodet e përgjigjeve, URL-të e kërkuara dhe, kur nuk ka enkriptim, madje edhe përmbajtjen e formularëve ose skedarëve. Me DNS, do të shihni se cilat domene po zgjidhen, cilët serverë po pyeten dhe nëse ka ndonjë përgjigje ose domen të dyshimtë që nuk përputhet me përdorimin normal të pajisjeve.

Skanimet Nmap lënë modele karakteristike në rrjet: përpjekje të shumëfishta lidhjeje me shumë porte, përdorim të flamujve specifikë TCP, etj. Me filtrat e duhur, ju mund t'i zbuloni këto aktivitete dhe të konfirmoni nëse dikush po hartëzon shërbime të ekspozuara në infrastrukturën tuaj.

Falsifikimi/helmimi i ARP mund të zbulohet gjithashtu duke vëzhguar se si modifikohen shoqërimet e adresave IP dhe MAC në rrjetin lokal. Dhe me tunelet SSH, edhe pse përmbajtja është e enkriptuar, ju prapë mund të analizoni modelet e lidhjes, kohëzgjatjen e seancës dhe vëllimin e të dhënave të transferuara.

Shumë nga këto ushtrime janë pjesë e laboratorëve praktik si ato në TryHackMe, të cilat përqendrohen në analizimin e trafikut keqdashës ose të dyshimtë . Do të punoni me kapje të para-gjeneruara për të mësuar se si të njihni treguesit e kompromentimit, vektorët e sulmit dhe sjelljen anormale duke përdorur vetëm Wireshark.

Wireshark 4.6.0 në macOS: meta të dhëna dhe analiza e procesit pktap

Një nga përmirësimet më interesante për përdoruesit e Mac vjen me versionin 4.6.0 të Wireshark , i cili prezanton mbështetje native për meta të dhënat pktap të macOS. Kjo ju lejon të shoqëroni çdo paketë rrjeti me procesin e sistemit që e gjeneroi atë, duke ofruar një nivel të fuqishëm detajesh.

Falë këtij integrimi, Wireshark mund të shfaqë informacione të tilla si PID (ID e procesit) dhe emri i aplikacionit që e nis trafikun, së bashku me meta të dhëna të tjera relevante. Kjo e thjeshton shumë debugging-un e aplikacionit, pasi ju e dini saktësisht se cili komponent po hap lidhje, po konsumon bandwidth ose po shkakton gabime.

Meta të dhënat përfshijnë gjithashtu të dhëna mbi identifikuesit e rrjedhës dhe statistikat e paketave të humbura, duke mundësuar një analizë më të detajuar të problemeve të performancës. Ky informacion zakonisht kapet duke përdorur tcpdump me opsionet -ky dhe -K , dhe më pas importohet në Wireshark, i cili interpreton dhe shfaq këto blloqe në formatin pcap-ng.

Për ekipet e zhvillimit dhe sigurisë në ekosistemin Apple, kjo përfaqëson një hap të rëndësishëm: ata mund të hetojnë incidentet me atribuim shumë të saktë ndaj proceseve specifike, të zbulojnë sjellje anormale brenda aplikacioneve të tyre dhe të vërtetojnë se politikat e sigurisë dhe privatësisë po ndiqen në të vërtetë.

Për më tepër, instaluesi Wireshark 4.6.0 për macOS është universal për arkitekturat Arm64 dhe Intel , duke thjeshtuar kështu instalimin në Mac-et moderne me Apple Silicon dhe në kompjuterë pak më të vjetër me procesorë Intel.

Wireshark si një mjet profesional: kurse, libra dhe mjedise moderne

Përdorimi i avancuar i Wireshark është një temë e përsëritur në kurset e specializuara të trajnimit, të cilat shfaqin veçoritë e tij më të fuqishme për debugging, auditim dhe detyra sigurie. Këto kurse mësojnë se si ta konfiguroni mjetin nga e para , ta personalizoni atë dhe të analizoni protokollet më të zakonshme të rrjetit në mjediset e korporatave.

Një sasi e konsiderueshme kohe zakonisht i kushtohet protokolleve të tilla si HTTP, FTP, SSL/TLS, DNS, DHCP, RTP, SIP dhe të tjerë që përdoren zakonisht në Voice over IP, shërbimet web dhe komunikimet e koduara. Studime praktike rastesh kryhen për të diagnostikuar shpejtësi të ngadalta, probleme me cilësinë e thirrjeve, ndërprerje të shërbimit dhe konfigurime të gabuara.

Paralelisht, kanë dalë libra dhe burime të avancuara, të fokusuara te profesionistët e rrjetit, specialistët e sigurisë kibernetike dhe studentët që duan të zotërojnë Wireshark në skenarë modernë. Këto materiale zakonisht kombinojnë teorinë TCP/IP, TLS, analizën e paketave dhe filtrat e avancuar me ushtrime praktike dhe laboratorë të udhëhequr.

Një qasje e zakonshme është integrimi i Wireshark me mjete të tjera sigurie dhe monitorimi, të tilla si Snort, Suricata, Zeek ose grupi ELK (Elasticsearch, Logstash, Kibana), brenda platformave SIEM. Ideja është që Wireshark të përdoret për inspektim të detajuar të nivelit të ulët, ndërsa mjetet e tjera ofrojnë korrelacion, alarme dhe panele të nivelit të lartë.

Gjithashtu mbulon aplikacione specifike në rrjetet dhe sistemet IoT që përdorin inteligjencën artificiale, ku dukshmëria e trafikut është thelbësore për zbulimin e dobësive, pajisjeve të konfiguruara gabimisht ose komunikimeve të papritura. Zotërimi i Wireshark në këto mjedise e bën mjetin një burim strategjik për sigurinë dhe optimizimin e rrjeteve komplekse.

Në përgjithësi, Wireshark kalon nga një mjet i thjeshtë sniffer në një mjet themelor në monitorimin e avancuar, diagnostikimin e defekteve, analizën e kërcënimeve dhe kuptimin e thellë të mënyrës se si sillen aplikacionet dhe shërbimet në rrjet.

Me gjithçka që ofron, nga funksionet bazë të kapjes dhe filtrimit deri te aftësitë e avancuara për analizimin sipas protokollit, ngjyrave, kohërave dhe meta të dhënave të procesit, është e qartë se Wireshark është një mjet thelbësor për këdo që ka nevojë të kuptojë se çfarë po ndodh vërtet në rrjetin e tij, qoftë në shtëpi, në një biznes të vogël apo në një organizatë të madhe.