Casos de Uso
Wireshark es una de las herramientas de análisis de tráfico más potentes disponibles. Tiene varios propósitos:
- Detectar y arreglar problemas de red.
- Detectar anomalías de seguridad.
- Investigar y aprender detalles de protocolos.
Wireshark no es un IDS (Intrusion Detection System). Sólo permite a los analistas descubrir e investigar los paquetes a fondo.
GUI y Data
La GUI de Wireshark se abre con una sola página todo en uno. A primera vista destacan 5 secciones:
| Sección | Descripción |
|---|---|
| Toolbar | Contiene múltiples menús y atajos para sniffeo de paquetes. |
| Display Filter Bar | La barra principal y sección de filtrado. |
| Recent Files | Lista de archivos recientes. |
| Capture Filter and Interfaces | Captura filtros y puntos de sniffeo (escucha). Estos puntos son las interfaces de red (eth0, lo, etc.). |
| Status Bar | Estado de herramientas e información de paquetes y perfiles. |
| La imagen de abajo muestra la interfaz de Wireshark: |
Cargando Archivos PCAP
Para abrir un archivo PCAP puedes dárselo como parámetro a wireshark <archivo_pcap>, arrastrarlo a la interfaz o seleccionar File. Una vez abierto se ve algo así:
Aquí vemos varias secciones:
| Sección | Descripción |
|---|---|
| Packet List Pane | Resumen de cada paquete (fuente, destino, protocolo e información). |
| Packet Details Pane | Detalle del protocolo del paquete seleccionado. |
| Packet Bytes Pane | Representación hex y ASCII decodeado del paquete seleccionado. |
Coloreando Paquetes
A parte de la información rápida, Wireshark también colorea los paquetes de acuerdo a diferentes condiciones y el protocolo para detectar anomalías. Puedes crear tus propias reglas de colores para localizar eventos de interés.
Wireshark tiene dos tipos de métodos de coloreo de paquetes. Reglas temporales, sólo disponibles durante una sesión y reglas permanentes, que son guardadas bajo las preferencias de archivos (perfil). Podemos usar click derecho en menú o View -> Coloring Rules. La opción Colourise Packet List activa y desactiva las reglas de coloración. Las reglas temporales se pueden hacer View -> Conversation Filter. Así es como se ven las reglas por defecto:
Sniffeo de Tráfico
Podemos usar el botón azul de la aleta de un tiburón para comenzar el sniffeo de la red (capturar tráfico), el botón rojo lo parara y el verde lo reiniciará. La barra de estado también mostrará la interfaz sniffeada y el número de paquetes recolectados.
Fusionar Archivos PCAP
Wireshark puede combinar dos archivos pcap en uno solo. Para ello podemos hacer File -> Merge. Al escoger el segundo archivo, Wireshark mostrará el total de paquetes en el archivo seleccionado. Una vez le damos a Open, se fusionará con el archivo pcap existente y creará un archivo pcap nuevo. Debemos guardar el archivo fusionado antes de poder trabajar sobre él.
Ver Detalles de Archivo
Conocer los detalles del archivo es de ayuda. Especialmente cuando trabajamos con múltiples archivos pcap, a veces necesitamos comprobar el file hash, el tiempo de captura, los comentarios, estadísticas, etc. Para ver los detalles: Statistics -> Capture File Properties o haciendo click en el icono pcap localizado en la esquina inferior derecha.
