Analiza pakietów w Wiresharku

• Wybierzesz właściwy interfejs i punkt obserwacji.
• Rozróżnisz filtry przechwytywania od filtrów wyświetlania.
• Przeanalizujesz własny ARP/ICMP, DNS i handshake TCP.
• Rozpoznasz ograniczenia analizy ruchu szyfrowanego.

Wymagania wstępne

• Ethernet, IP i ARP
• TCP/UDP i porty
• Podstawy DNS

Przechwytuj wyłącznie własny ruch albo ruch objęty jednoznaczną zgodą i zakresem administracyjnym. Plik pcap może zawierać adresy, nazwy, tokeny i inne dane wrażliwe; ogranicz dostęp, czas retencji i zakres przechwytywania.

Interfejs wybiera się według drogi badanego ruchu. Tryb promiscuous pozwala odbierać więcej ramek dostępnych karcie, ale w sieci przełączanej nie ujawnia automatycznie ruchu innych portów. Administrator może przygotować SPAN/port mirroring lub kontrolowany TAP.

• Zanotuj czas, interfejs, cel i zakres przechwycenia.
• Minimalizuj czas i ilość danych.
• Nie próbuj pozyskiwać cudzych haseł ani omijać szyfrowania.

Filtra wyświetlania nie można bezpośrednio wkleić jako capture filter. Gdy potrzebujesz pełnego materiału do późniejszej analizy, użyj ostrożnego filtra przechwytywania albo filtruj dopiero widok.

• Lista pakietów pokazuje pojedyncze ramki i kolumny podsumowania.
• Szczegóły protokołu rozwijają warstwy i pola wybranego pakietu.
• Bajty ramki pokazują surową reprezentację oraz zaznaczenie odpowiadające polu.
• Follow TCP Stream rekonstruuje strumień z przechwyconych segmentów; nie odszyfrowuje automatycznie TLS.
• Expert Information wskazuje anomalie, ale jest pomocą heurystyczną, a nie ostatecznym werdyktem.
• Statistics pomaga analizować rozmowy, punkty końcowe i hierarchię protokołów.

Pole tcp.analysis.retransmission jest wynikiem analizy Wiresharka i oznacza podejrzaną retransmisję, nie niepodważalny dowód utraty w sieci. Filtr dhcpv6 jest odrębny od dhcp.

arp
icmp
icmpv6
dhcp
dhcpv6
dns
tcp
udp
tcp.flags.syn == 1
tcp.analysis.retransmission
ip.addr == 192.0.2.10
ipv6.addr == 2001:db8::10

Brak pakietu w przechwyceniu może wynikać z niewłaściwego interfejsu lub punktu obserwacji, a nie z braku ruchu.

• Znajdź zestawienie i typowe zamknięcie połączenia TCP.
• Porównaj nazwę DNS z docelowym adresem IP.
• Sprawdź, które elementy HTTPS są widoczne mimo zaszyfrowanego ładunku.

ping example.com
nslookup example.com
curl -I https://example.com

• Pomylenie capture filter z display filter.
• Wybór nieaktywnego interfejsu lub interfejsu tunelu zamiast fizycznego.
• Uznanie każdego oznaczenia retransmisji za awarię sieci.
• Oczekiwanie ruchu innych portów switcha bez administracyjnego mirroringu.
• Udostępnianie pliku pcap bez anonimizacji i podstawy prawnej.

1. Przechwyć wyłącznie własne trzy działania z laboratorium i zapisz czas rozpoczęcia oraz interfejs.
2. Odczytaj rzeczywisty adres własnego hosta, a następnie zbuduj dla niego jeden capture filter i równoważny display filter. Adres 192.0.2.10 w tabeli jest wyłącznie przykładem składni.
3. Znajdź handshake TCP i wyjaśnij, dlaczego treść HTTPS nie jest czytelna wprost.

• Punkt obserwacji decyduje, jaki ruch można zobaczyć.
• Capture filter i display filter mają różną składnię i moment działania.
• Wireshark wspiera diagnozę, ale interpretacja musi uwzględniać szyfrowanie, offloading i niepełne przechwycenie.

• Wireshark User’s Guide
• Wireshark Display Filter Reference
• Wireshark pcap-filter manual