חקור את הרשת שלך באמצעות wireshark

מה זה Wireshark?

קישורים מהירים

• מה זה Wireshark?
• התקנת Wireshark
  • חלונות
  • מק
  • לינוקס
• הממשק
• אפשרויות לכידה
• לכידת תנועה
• קריאת הנתונים
• סינון מנות
  • סינון במהלך הצילום
  • סינון תוצאות
• בעקבות זרמי מנה
• מחשבות סוגרות

Wireshark הוא כלי רב-עוצמה לניתוח רשת המאפשר לפקח ולתפוס תנועה ברשת. זה לוכד תנועה ברמת מנות, כלומר אתה יכול לראות כל פיסת מידע שמועברת ברחבי הרשת שלך, מה היא מכילה ולאן היא הולכת.

כלי זה מאפשר לך לדמיין ולהבין את זרימת התנועה ברשת. כשאתה רואה אילו נתונים מועברים, אתה יכול גם לקבל תובנה לגבי כל חששות אבטחה פוטנציאליים שעשויים להתמודד אתה, כמו גם כל תנועה שעלולה להיות בלתי רצויה, כמו תוכנות זדוניות, תוכניות רוחב פס, ואפילו אורחים לא רצויים ב- WiFi שלך.

Wireshark הוא גם כלי חשוב מכיוון שהוא מאפשר לראות בדיוק כיצד הנתונים העוזבים את הרשת שלך נשלחים לאינטרנט הגדול יותר. לדוגמה, אתה יכול לראות ולקרוא בקשות HTTP, ומאפשר לך לראות אילו נתונים נשלחים ללא מוצפן. זה יכול להיות עניין גדול מאוד, במיוחד אם נתונים אלה הם כמו סיסמת בנק.

התקנת Wireshark

Wireshark הוא פלטפורמת קוד פתוח וחוצה צלב. זה זמין ללא תשלום ולכל מערכת הפעלה מרכזית. הפקדים בתוכנית זהים לחלוטין בכל הפלטפורמות, כך שאין צורך לדאוג. התמונות הן של לינוקס, אבל כל מה שתראה יעבוד גם ב- Windows ו- Mac.

חלונות

עבור אל דף ההורדה של Wireshark והורד את המהדורה האחרונה של גירסת Windows שלך. הרץ את ה- exe שהתקבל. המתקין סטנדרטי למדי. אתה יכול ללחוץ על רובו ולהשתמש בברירות המחדל.

אבל יש דבר אחד שתרצה להשגיח עליו. יופיע מסך שישאל אותך אם ברצונך להתקין את WinPcap. WinPcap הוא כלי עזר נוסף עבור Wireshark במערכת Windows המאפשר לו לתפוס את כל התעבורה ברשת, ולא רק את התנועה של המחשב שלך. סלק את התיבה כדי להתקין WinPcap. זה גם ישאל אותך לגבי גרסת ה- USB. זה לא הכרחי, אבל אתה יכול לכלול את זה גם.

לאחר מכן ההתקנה תושלם. התקנה חדשה תפעיל את WinPcap. ברירות המחדל מתקבלות גם שם.

מק

עבור אל דף ההורדה של Wireshark ותפוס את קובץ ה- .dmg האחרון. בסיום ההורדה, לחץ פעמיים על הקובץ כדי לפתוח אותו. גרור את היישום הפתוח לתיקיית / Applications שלך להתקנת Wireshark.

לינוקס

לרוב ההפצות של לינוקס יש Wireshark במאגר שלהם. התקן אותו עם מנהל החבילה שלך.

$ sudo apt להתקין wireshark-gtk

בהתאם להפצה שלך, תתבקש אם ברצונך לאפשר למשתמשים רגילים ללכוד חבילות. עליך לומר "כן". לאחר התקנת החבילה, הוסף למשתמש שלך את קבוצת Wireshark. התנתק והתחבר שוב כשתסיים.

$ sudo gpasswd - סמל wireshark

הממשק

כשאתה פותח לראשונה את Wireshark, תראה מסך דומה לזה שלמעלה. בסרגל הכלים ישנם לא מעט לחצנים, וזה יכול להראות מהמם, אבל זה הרבה יותר פשוט ממה שאתה בטח חושב.

ממשק לכידת ברירת המחדל הוא סוג של מביך. אתה יכול לשנות את הפריסה כך שיהיה נוח יותר, לחץ על "ערוך". מצא את התפריט "העדפות" ואת התחתון ופתח אותו. תחת ההעדפות תראה לשונית "פריסה" משמאל. בחר בזה. תראה מספר סמלים המתארים אפשרויות פריסה שונות. בחר את זה שנראה לך הכי טוב. האפשרות הראשונה עם הפריסה הערימה עובדת בדרך כלל טוב.

אל תדאגו יותר מדי מסרגלי הכלים. חמשת הסמלים הראשונים הם החשובים ביותר. לפי הסדר, הם מאפשרים לך לבחור ממשק לתצלום, לשנות את הגדרות הלכידה, להתחיל לכידת, להפסיק לכידת ולחדש אחת. האייקונים עצמם אינטואיטיביים למדי.

אפשרויות לכידה

לפני שתתחיל לתפוס תנועה, עליך לבחון את אפשרויות הלכידה כדי לראות מה Wireshark יכול לעשות. לחץ על סמל אפשרויות הלכידה. זה אמור להיראות כמו ציוד.

הדבר הראשון שתראה בראש החלון הוא טבלה המפרטת את כל ממשקי הרשת שלך. סמן את התיבה לצד הממשק שעליו ברצונך ללכוד. ברוב המקרים, הממשק הרצוי הוא זה בו אתה משתמש כדי להתחבר לרשת. זה יהיה זה שתואם את יציאת ה- Ethernet או מכשיר ה- WiFi שלך.

מתחת לזה תראו כמה תיבות סימון. אחד ישאל אם ברצונך להשתמש במצב מופקר. מצב בולט הוא המאפשר לך לראות את חילופי הדברים בין כל המכשירים ברשת, ולא רק את המחשב שלך. רוב הסיכויים שאתה רוצה שזה יהיה מופעל. עם זאת, היזהר . השימוש במצב מופקר ברשת שאינך בבעלותך או ברשותך אישור לבדוק אינו חוקי .

החלק הבא למטה מכסה קבצי לכידה. Wireshark מאפשר לך לשמור את הנתונים שנתפסו. השדה הראשון שם מאפשר לך לציין יעד בודד ללכידה שלך. מתחת לזה תוכלו לסמן את התיבה כדי לאפשר ל- Wireshark לפרק את יומן הלכידה. יומני יכול להיות גדולים מאוד, במיוחד ברשתות גדולות יותר. תכונה זו מאפשרת לך לפרוס את נתוני הלכידה שלך באופן אוטומטי על סמך זמן או גודל קובץ. כך או כך, מדובר בתכונה נוחה כשאתה מתמודד עם סריקות לטווח הרחוק או רשת עמוסה.

מתחת לזה אתה יכול לשלוט על משך הלכידה שלך. שוב, התצלומים יכולים להיות גדולים, כך שתוכלו להגדיר גודל מקסימלי. אתה יכול גם לפסק זמן, וזה נחמד מכיוון שהוא מאפשר לך לצלם תמונת מצב של מסגרת זמן ספציפית ברשת שלך.

לכידת תנועה

לאחר שההגדרות שלך מסודרות, תוכל להתחיל לתפוס את התנועה ברשת שלך. אם מעולם לא עשית דבר כזה לפני כן, תהיה מוכן להיות מופתע. יש הרבה יותר תנועה ממה שאתה יודע שזורם ברשת שלך. כדי להתחיל בלכידה, לחץ על כפתור "התחל" בתחתית חלון התצורה או על סמל סנפיר הכריש. כך או כך עובד.

כשאתה מתחיל להקליט, כמות התנועה שאתה רואה תלויה באילו מכשירים יש ברשת שלך. למרות שרוב האנשים לא יוכלו לעמוד בעומס התנועה שהם רואים, ייתכן בהחלט שתראה כמעט כלום. אם זה המקרה, פתח דפדפן אינטרנט והתחל לנווט סביב. לכידתך תתחיל לאכלס במהירות.

לאחר שהתפיסה שלך רצה זמן רב ככל שתרצה לבדוק איתה, לחץ על לחצן העצירה בסרגל הכלים. מה שיש לך צריך להיראות דומה לתמונה למעלה.

קריאת הנתונים

לחץ על אחת המנות שתפסת. נסה למצוא בקשת HTTP. הם נוטים להיות קלים יותר לקריאה. כשאתה בוחר חבילה, שני החלקים האחרים של המסך מתמלאים במידע על זה שבחרת.

החלק שאתה צריך לשים לב אליו ערם כרטיסיות מתקפלות. כרטיסיות אלה עוקבות אחר מודל OSI ומסודרות מהרמה הנמוכה ביותר לגבוהה ביותר עם המידע ברמה הנמוכה ביותר בראש. משמעות הדבר היא שהמידע הרלוונטי ביותר עבורך נמצא כנראה בכרטיסיות התחתונות.

כל כרטיסייה מכילה מידע שונה אודות המנה. במנות HTTP תראה מידע על בקשת HTTP, כולל התגובה, כותרות, ואולי אפילו HTML. סוגים אחרים של מנות עשויים להכיל מידע אודות היציאות הנמצאות בשימוש, הצפנה בשימוש, פרוטוקולים וכתובות MAC.

סינון מנות

זה יכול להיות כאב שעובר על המון נתוני לכידה כדי למצוא בדיוק את מה שאתה מחפש. זה לא יעיל, וזה בזבוז זמן אדיר. ל- Wireshark פונקציונליות סינון המאפשרת לך למיין במהירות מנות כדי למצוא בדיוק מה שרלוונטי בכל זמן נתון.

יש כמה דרכים בסיסיות בהן Wireshark מאפשרת לך לסנן תוצאות. ראשית, יש בו שפע של מסננים מובנים. כשתתחיל להקליד באחד משדות המסנן, Wireshark יציג אותם כהצעות להשלמה אוטומטית. אם מישהו מאלה אתה מחפש, נהדר! הסינון יהיה קל מאוד.

Wireshark משתמש גם במה שמכונה מפעילי בוליאן. משתמשים במפעילים בוליאניים כדי להעריך אם הצהרה נכונה או לא. לדוגמה, כשאתה מעוניין בשני תנאים, היית משתמש במפעיל "ו-" ביניהם מכיוון שתנאי 1 ותנאי 2 שניהם צריכים להיות נכונים. המפעיל "או" דומה, רק זה רק דורש שאחד מהתנאים שלך יהיה נכון. אתה בטח יכול לנחש שמפעיל "לא" מחפש כאשר לא קיים תנאי.

בנוסף למפעילים הבולאיים, Wireshark תומך במפעילי השוואה. כפי שהשם מרמז, מפעילי השוואה משווים שני תנאים או יותר. הם מעריכים את שוויון התנאים כגודל, פחות או שווה ל.

סינון במהלך הצילום

סינון התוצאות שלך במהלך הצילום קל מאוד. פתח גיבוי לאפשרויות הלכידה. חפש את הלחצן "אפשרויות לכידה" לכיוון אמצע החלון. צריך להיות ליד שדה טקסט גדול.

אתה יכול לבנות את המסנן שלך מאפס בשדה זה, או שאתה יכול ללחוץ על הכפתור ולהשתמש בפילטרים המובנים של Wireshark. נסה ללחוץ על הכפתור. חלון חדש ייפתח עם רשימת פילטרים. לחיצה על מסננים אלה מאכלסת את השדות למטה. השדה התחתון הוא המסנן שנמצא בשימוש. אתה יכול לשנות את המסנן הזה כבסיס למסננים המותאמים אישית שלך יותר. כשתהיה מוכן, לחץ על "אישור". לאחר מכן, הפעל את הסריקה שלך כמו שבדרך כלל היית עושה. במקום לתפוס את הכל, Wireshark יתפוס רק מנות שעשויות לתנאי הפילטר שלך. זה הופך את המיון והקטלוג של נתוני המנות שלך להרבה יותר קל. אינך צריך לחפש הרבה מידע נוסף כדי למצוא את מה שאתה צריך.

סינון תוצאות

אם ביצעתם צילום מלא או לכידת חזקה יותר, אך אתם רוצים לסנן את זה לאחר מעשה, תוכלו לעשות זאת גם. לאחר ביצוע הצילום תראה סרגל כלים נוסף מתחת לסמלי הבקרה. סרגל כלים זה כולל שדה "סינון". אתה יכול להקליד ביטויים לזה שהוגש כדי לסנן את התוצאות שמציגות Wireshark.

כמו עם סינון במהלך הצילום, יש דרך קלה. לחץ על כפתור "ביטוי" כדי לפתוח חלון שעוזר לך להרכיב את ביטויי המסנן שלך. העמודה השמאלית מכילה רשימת שדות. שדות אלה מאפשרים לך לבחור לאיזה מידע אתה מתכוון. העמודה הבאה מכילה רשימת יחסים אפשריים. רובם הם הסמלים עבור פחות, גדולים יותר, שווים ושילובים של אלה. העמודה האחרונה מיועדת לערכים. אלה הערכים שאתה משווה אליהם. בהתאם לשדה שלך, אתה יכול לבחור או לכתוב את הערך שאליו אתה רוצה להשוות.

אלה יכולים להיות מורכבים יותר, ותוכלו להוסיף ביטויים נוספים יחד. זה נופל על מפעילי בוליאן. אולם בוליאן אלה שונים. שדה ביטוי זה משתמש בסמלים עבור או, או, ולא במקום במילים עצמן. || הוא "או." && הוא "ו-." פשוט! לא."

לדוגמה, אם אתה רוצה הכל מלבד UDP, השתמש ב! Udp. אם אתה רוצה HTTP או TCP, נסה http || tcp. אתה יכול לשלב גם אותם לביטויים מורכבים יותר. ככל שהביטוי שלך יהיה מורכב יותר, כך המסנן שלך יהיה מעודן יותר.

בעקבות זרמי מנה

ברגע שיש לך מנות או מנות שמעניינות אותך, אתה יכול להשתמש בכלי מובנה מדהים ב- Wireshark כדי לעקוב אחר כל "השיחה" בין שני המחשבים המחליפים מנות אלה. בעקבות זרמי מנות מאפשרים לווירשארק להרכיב את הכל וליצור תמונה גדולה יותר וכתוצאה מכך. במקרה של מנות HTTP, ככל הנראה, Wireshark ירכיב את מקור ה- HTML של דף אינטרנט. עם תוכניות VOIP מסוימות לא מוצפנות, Wireshark יכול אפילו לאחזר את האודיו שהוחלף. כן, זה יכול למעשה להאזין לשיחות VOIP.

לחץ באמצעות לחצן העכבר הימני על המנה שאותה ברצונך לעקוב. בחר "עקוב … זרם", כאשר הנקודות מוחלפות על ידי פרוטוקול המנה. Wireshark ייקח כמה שניות לתפור את הכל יחד. לאחר סיומה, Wireshark יציג בפניכם את התוצאה שהושלמה. תכונה זו מקלה הרבה יותר לראות בדיוק מה מוחלף ברשת שלך. זה גם מדגים עד כמה חשוב הצפנת רשת, מכיוון שתכונה זו תרכיב רק שטויות מוחלטות עם מנות מוצפנות.

מחשבות סוגרות

Wireshark הוא כלי מדהים לחלוטין בניתוח רשת. זה נותן לך גישה לראות את כל מה שקורה ברשת שלך. באמצעות Wireshark אתה יכול לקבל הבנה רבה יותר של היכן הבעיות ברשת שלך מונחות, הן מבחינת המהירות והן מבחינת האבטחה. זכור להשתמש תמיד ב- Wireshark ולהבין שזה פולש מאוד. אל תרגל אחרי אנשים, וזכור לשמור על השימוש שלך ב- Wireshark בחוק.