Conceptos básicos de Wireshark | Guía completa | TryHackMe Wireshark Conceptos básicos y operaciones de paquetes

Wireshark es una herramienta de análisis de paquetes de red multiplataforma de código abierto capaz de detectar e investigar el tráfico en vivo e inspeccionar capturas de paquetes (PCAP). Se utiliza comúnmente como una de las mejores herramientas de análisis de paquetes. En esta sala, veremos los conceptos básicos de Wireshark y los usaremos para realizar análisis fundamentales de paquetes.

Wireshark es una de las herramientas de análisis de tráfico más potentes disponibles en el mercado. Existen múltiples propósitos para su uso:

• Detectar y solucionar problemas de red, como puntos de falla de carga de red y congestión.
• Detectar anomalías de seguridad, como hosts no autorizados, uso anormal de puertos y tráfico sospechoso.
• Investigar y aprender detalles del protocolo, como códigos de respuesta y datos de carga útil.

La disección de paquetes también se conoce como disección de protocolos, y investiga los detalles del paquete decodificando los protocolos y campos disponibles. Wireshark admite una larga lista de protocolos de disección y también puede escribir sus guiones de disección. Puedes encontrar más detalles sobre la disección. aquí.

Wireshark tiene un potente motor de filtrado que ayuda a los analistas a limitar el tráfico y centrarse en el evento de interés. Wireshark tiene dos tipos de enfoques de filtrado: filtros de captura y visualización. Los filtros de captura se utilizan para “capturando” sólo los paquetes válidos para el filtro utilizado. Los filtros de visualización se utilizan para "visita" los paquetes válidos para el filtro utilizado.

Los filtros son consultas específicas diseñadas para protocolos disponibles en la referencia de protocolo oficial de Wireshark. Si bien los filtros son sólo la opción para investigar el evento de interés, existen dos formas diferentes de filtrar el tráfico y eliminar el ruido del archivo de captura. El primero usa consultas y el segundo usa el menú contextual. Wireshark proporciona una potente GUI y Existe una regla de oro para los analistas que no quieren escribir consultas para tareas básicas: “Si puedes hacer clic en él, puedes filtrarlo y copiarlo”.

Estas estadísticas proporcionan múltiples opciones estadísticas listas para investigar para ayudar a los usuarios a ver el panorama general en términos del alcance del tráfico, protocolos disponibles, puntos finales y conversaciones, y algunos detalles específicos del protocolo como DHCP, DNS y HTTP/2. Para un analista de seguridad, es fundamental saber cómo utilizar la información estática. Esta sección proporciona un resumen rápido del pcap procesado, que ayudará a los analistas a crear una hipótesis para una investigación. Puedes usar el "Estadísticas" menú para ver todas las opciones disponibles.