Що таке Wireshark?
Швидкі посилання
- Що таке Wireshark?
- Встановлення Wireshark
- Windows
- Мак
- Linux
- Інтерфейс
- Параметри захоплення
- Захоплення трафіку
- Читання даних
- Фільтрування пакетів
- Фільтрування під час зйомки
- Фільтрування результатів
- Слідом за пакетними потоками
- Заключні думки
Wireshark - це потужний інструмент аналізу мережі, який дозволяє контролювати та фіксувати мережевий трафік. Він фіксує трафік на рівні пакетів, це означає, що ви можете бачити кожен біт інформації, який передається по вашій мережі, що вона містить і куди йде.
Цей інструмент дозволяє візуалізувати та зрозуміти потік трафіку в мережі. Побачивши, які дані передаються навколо, ви також можете отримати уявлення про будь-які потенційні проблеми безпеки, з якими ви можете зіткнутися, а також будь-який потенційно небажаний трафік, як-от зловмисне програмне забезпечення, програми, що перетягують пропускну здатність і навіть небажані гості на вашому WiFi.
Wireshark також є важливим інструментом, оскільки він дозволяє точно бачити, як дані, що виходять з вашої мережі, надсилаються в більш широкий Інтернет. Наприклад, ви можете бачити та читати HTTP-запити, що дозволяє вам бачити, які дані надсилаються незашифрованими. Це може бути дуже великою справою, особливо якщо ці дані є чимось на зразок банківського пароля.
Встановлення Wireshark
Wireshark є відкритим кодом та крос-платформою. Він доступний безкоштовно та для кожної основної операційної системи. Елементи управління в рамках програми однакові на всіх платформах, тому хвилюватися не потрібно. Зображення зроблені з Linux, але все, що ви побачите, буде працювати і в Windows та Mac.
Windows
Перейдіть на сторінку завантаження Wireshark та завантажте останню версію для вашої версії Windows. Запустіть отриманий файл .exe. Інсталятор досить стандартний. Ви можете натиснути на більшу частину його та використовувати параметри за замовчуванням.
Однак є одне, на що ти хочеш пильнувати. З'явиться екран із запитанням, чи хочете ви встановити WinPcap. WinPcap - це додаткова утиліта для Wireshark в Windows, яка дозволяє їй фіксувати весь трафік в мережі, а не лише трафік вашого комп'ютера. Поставте прапорець, щоб встановити WinPcap. Він також запитає вас про версію USB. Це не обов'язково, але ви також можете включити його.
Після цього встановлення завершиться. Почнеться нова установка для WinPcap. За замовчуванням там теж є прийнятні.
Мак
Перейдіть на сторінку завантаження Wireshark та перейдіть на останній .dmg файл. Закінчивши завантаження, двічі клацніть файл, щоб відкрити його. Перетягніть відкриту програму у папку / програми, щоб встановити Wireshark.
Linux
Більшість дистрибутивів Linux має Wireshark, доступний у своїх сховищах. Встановіть його разом із менеджером пакунків.
$ sudo apt встановити wireshark-gtk
Залежно від вашого розповсюдження, вам буде запропоновано, чи потрібно дозволити звичайним користувачам захоплювати пакети. Ви повинні сказати «Так». Після встановлення пакета додайте користувачеві групу Wireshark. Вийдіть і увійдіть знову, коли закінчите.
$ sudo gpasswd - користувацька проводка
Інтерфейс
Коли ви вперше відкриєте Wireshark, ви побачите екран, подібний до вищевказаного. На панелі інструментів зверху є досить багато кнопок, і це може виглядати непосильно, але це набагато простіше, ніж ви, мабуть, думаєте.
Інтерфейс захоплення за замовчуванням - це щось незручне. Ви можете змінити макет, щоб зробити його більш комфортним, натисніть на "Редагувати". Знайдіть меню "Налаштування" та знизу та відкрийте його. Під налаштуваннями ви побачите вкладку "Макет" зліва. Виберіть його. Ви побачите кілька піктограм із зображеннями різних варіантів компонування. Виберіть той, який вам найкраще виглядає. Перший варіант із складеним макетом зазвичай працює добре.
Не переживайте надто багато про панелі інструментів. Перші п’ять іконок є найважливішими. Для того вони дозволяють вибрати інтерфейс для захоплення, змінити налаштування зйомки, розпочати захоплення, зупинити захоплення та відновити його. Самі значки досить інтуїтивно зрозумілі.
Параметри захоплення
Перш ніж почати захоплювати трафік, слід вивчити варіанти захоплення, щоб побачити, що може зробити Wireshark. Клацніть на значку параметрів захоплення. Це повинно виглядати як шестерня.
Перше, що ви побачите у верхній частині вікна - це таблиця з переліком усіх ваших мережевих інтерфейсів. Поставте прапорець біля інтерфейсу, який ви бажаєте зробити. У більшості випадків потрібний інтерфейс, який ви використовуєте для підключення до мережі. Це буде той, який відповідає вашому порту Ethernet або пристрою WiFi.
Під цим ви побачите пару прапорців. Один запитає, чи хочете ви користуватися розбещеним режимом. Неокупний режим - це те, що дозволяє бачити обмін між усіма пристроями в мережі, а не лише власним комп'ютером. Швидше за все, ви хочете, щоб це було ввімкнено. Але будьте обережні . Використання безладного режиму в мережі, якою ви не володієте або не маєте дозволу на тестування, є незаконним .
Наступний розділ внизу охоплює файли захоплення. Wireshark дозволяє зберігати захоплені дані. Перше поле дозволяє вам вказати єдине місце призначення для зйомки. Нижче ви можете встановити прапорець, щоб Wireshark мав змогу розбивати журнал захоплення. Журнали можуть бути дуже великими, особливо у великих мережах. Ця функція дозволяє автоматично розбивати дані зйомки залежно від часу або розміру файлу. Так чи інакше, це зручна функція, коли ви маєте справу з тривалими скануваннями або напруженою мережею.
Нижче ви можете контролювати тривалість свого захоплення. Знову ж, знімки можуть бути великими, тому ви можете встановити максимальний розмір. Ви також можете провести тайм-аут, що приємно, оскільки він дозволяє робити знімок певного часового періоду у вашій мережі.
Захоплення трафіку
Після того, як ви встановите свої налаштування, ви можете почати фіксувати трафік у вашій мережі. Якщо ви ніколи раніше не займалися подібними справами, будьте готові здивуватися. Навколо вашої мережі протікає набагато більше трафіку, ніж ви знаєте. Щоб розпочати зйомку, натисніть кнопку «Пуск» внизу вікна конфігурації або значок плавника акули. Будь-який спосіб працює.
Коли ви починаєте запис, кількість трафіку, який ви бачите, залежить від того, які пристрої є у вашій мережі. Хоча більшість людей не зможе бути в курсі навантаженого трафіку, який вони бачать, цілком можливо, що ви бачите майже нічого. Якщо це так, відкрийте веб-браузер і почніть навігацію. Ваше захоплення швидко почне заповнюватися.
Після того, як ваше захоплення тривало стільки часу, скільки ви хочете протестувати, натисніть кнопку зупинки на панелі інструментів. Те, що у вас є, повинно виглядати приблизно як зображення вище.
Читання даних
Клацніть на одному із захоплених пакетів. Спробуйте знайти HTTP-запит. Вони, як правило, легше читати. Коли ви вибираєте пакет, два інші розділи екрана заповнюються інформацією про той, який ви вибрали.
У розділі, на який потрібно звернути увагу, є складені розкладні вкладки. Ці вкладки відповідають моделі OSI і впорядковуються від найнижчого рівня до найвищого з найнижчим рівнем інформації вгорі. Це означає, що найбільш відповідна для вас інформація, ймовірно, знаходиться в нижній вкладці.
Кожна вкладка містить різну інформацію про пакет. У пакетах HTTP ви побачите інформацію про HTTP-запит, включаючи відповідь, заголовки та, можливо, навіть якийсь HTML. Інші типи пакетів можуть містити інформацію про те, які порти використовуються, що використовуються шифрування, протоколи та MAC адреси.
Фільтрування пакетів
Це може бути біль, копаючи безліч даних про захоплення, щоб знайти саме те, що ви шукаєте. Це неефективно, і це величезна витрата часу. Wireshark має функцію фільтрації, яка дозволяє швидко сортувати пакети, щоб знайти саме те, що є актуальним у будь-який момент часу.
Існує кілька основних способів, за допомогою яких Wireshark дозволяє фільтрувати результати. По-перше, у ньому багато вбудованих фільтрів. Коли ви почнете вводити одне з полів фільтра, Wireshark відобразить їх як пропозиції щодо автоматичного заповнення. Якщо хтось із них - те, що ви шукаєте, чудово! Фільтрування буде дуже легко.
Wireshark також використовує булеві оператори. Булові оператори використовуються для оцінки того, чи твердження вірно чи ні. Наприклад, якщо ви хочете, щоб були виконані дві умови, ви використовуєте оператор "і" між ними, оскільки умови 1 і умова 2 повинні бути істинними. Оператор “або” схожий, тільки він просто вимагає, щоб одна з ваших умов була істинною. Ви, напевно, можете здогадатися, що оператор "не" шукає, коли умова не існує.
Окрім булевих операторів, Wireshark підтримує оператори порівняння. Як випливає з назви, оператори порівняння порівнюють дві або більше умов. Вони оцінюють еквівалентність умов як більшу, меншу або рівну.
Фільтрування під час зйомки
Фільтрувати результати під час зйомки дуже легко. Відкрийте резервну копію параметрів зйомки. Шукайте кнопку "Параметри зйомки" в середині вікна. Поруч має бути велике текстове поле.
Ви можете сконструювати свій фільтр з нуля в цьому полі, або натиснути кнопку та використовувати вбудовані фільтри Wireshark. Спробуйте натиснути кнопку. Відкриється нове вікно зі списком фільтрів. Клацання на цих фільтрах заповнює поля нижче. Нижнє поле - це власне фільтр, який використовується. Ви можете змінити цей фільтр як основу власних більше спеціальних фільтрів. Коли ви будете готові, натисніть «Гаразд». Потім запустіть сканування так, як зазвичай. Замість того, щоб зафіксувати все, Wireshark буде захоплювати лише пакети, які залежать від умов вашого фільтра. Це значно полегшує сортування та категоризацію пакетних даних. Вам не потрібно копати багато зайвої інформації, щоб знайти те, що вам потрібно.
Фільтрування результатів
Якщо ви зробили повний знімок або більш надійний знімок, але ви хочете фільтрувати його після факту, ви можете зробити це теж. Після здійснення зйомки ви побачите додаткову панель інструментів під значками керування. На цій панелі інструментів є поле «Фільтр». Ви можете ввести вирази в файл, поданий для фільтрування результатів відображення Wireshark.
Як і з фільтруванням під час зйомки, існує простий спосіб. Клацніть на кнопку «Вираз», щоб відкрити вікно, яке допоможе вам зібрати вирази фільтру. Лівий стовпець містить список полів. Ці поля дозволяють вам вибрати, яку інформацію ви плануєте націлити. Наступний стовпчик містить перелік можливих відносин. Більшість - це символи для менших, більших, рівних та комбінацій. Заключний стовпчик призначений для значень. Це значення, з якими ви порівнюєте. Залежно від вашого поля, ви можете вибрати або записати значення, з яким ви хочете порівняти.
Вони можуть бути складнішими, і ви можете додавати більше виразів разом. Це припадає на булеві оператори. Хоча ці булеви різні. Це поле вираження використовує символи для і, або, а не замість самих слів. || означає "або". && є "і". Просте! не."
Наприклад, якщо ви хочете все, крім UDP, використовуйте! Udp. Якщо ви хочете HTTP або TCP, спробуйте http || tcp. Ви також можете їх поєднувати в більш складні вирази. Чим складнішим стає ваш вираз, тим більш вишуканим буде ваш фільтр.
Слідом за пакетними потоками
Коли у вас є пакет або пакети, які вас цікавлять, ви можете використовувати дивовижний вбудований інструмент у Wireshark, щоб прослідкувати всю «розмову» між двома комп'ютерами, що обмінюються цими пакетами. Наступні потоки пакетів дозволяють Wirshark зібрати все це разом і створити більшу отриману картину. У випадку з HTTP-пакетами Wireshark, ймовірно, зведе HTML-джерело веб-сторінки. За допомогою певних незашифрованих програм VOIP Wireshark навіть може отримати обмінним аудіо. Так, він може насправді слухати VOIP-розмови.
Клацніть правою кнопкою миші на пакет, який ви хочете виконати. Виберіть "Слідкуйте за потоком", і крапки будуть замінені протоколом пакету. Wireshark знадобиться кілька секунд, щоб зшити все це разом. Після її завершення Wireshark представить вам завершений результат. Ця функція значно полегшує перегляд того, що обмінюється у вашій мережі. Він також демонструє, наскільки важливим є мережеве шифрування, оскільки ця функція збиратиме лише загальну нісенітницю із зашифрованими пакетами.
Заключні думки
Wireshark - це абсолютно дивовижний інструмент в аналізі мережі. Він надає вам доступ, щоб побачити все, що відбувається у вашій мережі. Завдяки Wireshark ви можете зрозуміти, де лежать проблеми з вашою мережею, як з точки зору швидкості, так і безпеки. Пам’ятайте, що завжди використовуйте Wireshark з обережністю і розумійте, що це дуже нав’язливо. Не шпигуйте за людьми, і не забудьте продовжувати користуватися Wireshark у межах закону.
