Nozioni di base su Wireshark | Guida completa | TryHackMe Wireshark Nozioni di base e operazioni sui pacchetti

Wireshark è uno strumento di analisi dei pacchetti di rete open source e multipiattaforma in grado di annusare e indagare sul traffico in tempo reale e di ispezionare le acquisizioni di pacchetti (PCAP). È comunemente usato come uno dei migliori strumenti di analisi dei pacchetti. In questa stanza esamineremo le nozioni di base di Wireshark e lo utilizzeremo per eseguire l'analisi fondamentale dei pacchetti.

Wireshark è uno degli strumenti di analisi del traffico più potenti disponibili in natura. Gli scopi del suo utilizzo sono molteplici:

• Rilevamento e risoluzione dei problemi di rete, come punti di guasto del carico di rete e congestione.
• Rilevamento di anomalie di sicurezza, come host non autorizzati, utilizzo anomalo delle porte e traffico sospetto.
• Indagare e apprendere i dettagli del protocollo, come codici di risposta e dati del carico utile.

La dissezione dei pacchetti è nota anche come dissezione del protocollo, che indaga i dettagli del pacchetto decodificando i protocolli e i campi disponibili. Wireshark supporta un lungo elenco di protocolli per la dissezione e puoi anche scrivere i tuoi script di dissezione. Puoi trovare maggiori dettagli sulla dissezione Qui.

Wireshark dispone di un potente motore di filtro che aiuta gli analisti a restringere il traffico e concentrarsi sull'evento di interesse. Wireshark ha due tipi di approcci di filtraggio: filtri di acquisizione e visualizzazione. I filtri di acquisizione vengono utilizzati per “catturare” solo i pacchetti validi per il filtro utilizzato. I filtri di visualizzazione vengono utilizzati per “visione” i pacchetti validi per il filtro utilizzato.

I filtri sono query specifiche progettate per i protocolli disponibili nel riferimento al protocollo ufficiale di Wireshark. Sebbene i filtri siano solo un'opzione per indagare sull'evento di interesse, esistono due modi diversi per filtrare il traffico e rimuovere il rumore dal file di acquisizione. Il primo utilizza le query e il secondo utilizza il menu di scelta rapida. Wireshark fornisce una potente GUI e esiste una regola d'oro per gli analisti che non vogliono scrivere query per attività di base: “Se puoi cliccarci sopra, puoi filtrarlo e copiarlo”.

Queste statistiche forniscono molteplici opzioni statistiche pronte per essere analizzate per aiutare gli utenti a vedere il quadro generale in termini di portata del traffico, protocolli disponibili, endpoint e conversazioni e alcuni dettagli specifici del protocollo come DHCP, DNS e HTTP/2. Per un analista della sicurezza, è fondamentale sapere come utilizzare le informazioni statiche. Questa sezione fornisce un breve riepilogo del pcap elaborato, che aiuterà gli analisti a creare un'ipotesi per un'indagine. Puoi usare il “Statistiche” menu per visualizzare tutte le opzioni disponibili.