Wat is Wireshark?
Snelle links
- Wat is Wireshark?
- Wireshark installeren
- ramen
- Mac
- Linux
- De interface
- Capture-opties
- Leg verkeer vast
- Gegevens lezen
- Pakketten filteren
- Filteren tijdens opname
- Resultaten filteren
- Pakketstromen volgen
- Gedachten sluiten
Wireshark is een krachtig netwerkanalysetool waarmee u netwerkverkeer kunt bewaken en vastleggen. Het registreert verkeer op pakketniveau, wat betekent dat u elk stukje informatie kunt zien dat langs uw netwerk wordt doorgegeven, wat het bevat en waar het naartoe gaat.
Met deze tool kunt u de verkeersstroom binnen een netwerk visualiseren en begrijpen. Door te kijken welke gegevens worden doorgegeven, kunt u ook inzicht krijgen in mogelijke beveiligingsproblemen die u mogelijk tegenkomt, evenals mogelijk ongewenst verkeer, zoals malware, programma's die bandbreedte vergroten en zelfs ongewenste gasten op uw WiFi.
Wireshark is ook een belangrijk hulpmiddel omdat u precies kunt zien hoe gegevens die uw netwerk verlaten naar het grotere internet worden verzonden. U kunt bijvoorbeeld HTTP-aanvragen bekijken en lezen, zodat u kunt zien welke gegevens ongecodeerd worden verzonden. Dat kan heel belangrijk zijn, vooral als die gegevens zoiets zijn als een bankwachtwoord.
Wireshark installeren
Wireshark is open source en cross-platform. Het is gratis en voor elk groot besturingssysteem beschikbaar. De bedieningselementen in het programma zijn op alle platforms exact hetzelfde, dus u hoeft zich geen zorgen te maken. De afbeeldingen zijn afkomstig van Linux, maar alles wat je ziet, werkt ook op Windows en Mac.
ramen
Ga naar de Wireshark-downloadpagina en download de nieuwste versie voor uw versie van Windows. Voer de resulterende .exe uit. Het installatieprogramma is redelijk standaard. U kunt er doorheen klikken en de standaardwaarden gebruiken.
Er is echter één ding waar u op wilt letten. Er verschijnt een scherm waarin u wordt gevraagd of u WinPcap wilt installeren. WinPcap is een extra hulpprogramma voor Wireshark op Windows waarmee het alle verkeer op een netwerk kan vastleggen, in plaats van alleen het verkeer van uw computer. Vink het vakje aan om WinPcap te installeren. U wordt ook gevraagd naar de USB-versie. Dat hoeft niet, maar u kunt het ook opnemen.
Daarna is de installatie voltooid. Er wordt een nieuwe installatie gestart voor WinPcap. De standaardwaarden zijn daar ook acceptabel.
Mac
Ga naar de Wireshark-downloadpagina en pak het nieuwste .dmg-bestand. Wanneer het downloaden is voltooid, dubbelklikt u op het bestand om het te openen. Sleep de geopende toepassing naar uw map / Toepassingen om Wireshark te installeren.
Linux
De meeste Linux-distributies hebben Wireshark beschikbaar in hun repositories. Installeer het met uw pakketmanager.
$ sudo apt threadshark-gtk installeren
Afhankelijk van uw distributie wordt u gevraagd of u normale gebruikers pakketten wilt laten vastleggen. U moet "Ja" zeggen. Nadat het pakket is geïnstalleerd, voegt u uw gebruiker de Wireshark-groep toe. Log uit en log opnieuw in als u klaar bent.
$ sudo gpasswd -een gebruiker threadshark
De interface
Wanneer u Wireshark voor het eerst opent, ziet u een scherm dat lijkt op het scherm hierboven. Er zijn nogal wat knoppen hierboven in de werkbalken en het kan er overweldigend uitzien, maar het is veel eenvoudiger dan u waarschijnlijk denkt.
De standaard capture-interface is nogal lastig. U kunt de lay-out wijzigen om het comfortabeler te maken, klik op "Bewerken". Zoek het "Voorkeuren" menu en onderaan, en open het. Onder de voorkeuren ziet u links het tabblad 'Indeling'. Selecteer het. U ziet verschillende pictogrammen met verschillende lay-outopties. Kies degene die het beste bij u past. De eerste optie met de gestapelde lay-out werkt meestal goed.
Maak je nog geen zorgen over de werkbalken. De eerste vijf pictogrammen zijn het belangrijkst. Zo kunt u een interface selecteren om op vast te leggen, de vastleginstellingen wijzigen, een opname starten, een opname stoppen en er een hervatten. De pictogrammen zelf zijn redelijk intuïtief.
Capture-opties
Voordat u begint met het vastleggen van verkeer, moet u de vastlegopties verkennen om te zien wat Wireshark kan doen. Klik op het pictogram voor opname-opties. Het moet eruit zien als een versnelling.
Het eerste dat u boven aan het venster ziet, is een tabel met al uw netwerkinterfaces. Vink het vakje aan naast de interface waarop u wilt vastleggen. In de meeste gevallen is de gewenste interface degene die u gebruikt om verbinding te maken met het netwerk. Het zal degene zijn die overeenkomt met uw Ethernet-poort of WiFi-apparaat.
Daaronder ziet u een paar selectievakjes. Men zal vragen of u de promiscue modus wilt gebruiken. In de Promiscuous-modus kunt u de uitwisselingen tussen alle apparaten in een netwerk zien, niet alleen uw eigen computer. De kans is groot dat u dit wilt inschakelen. Maar wees voorzichtig . Het is illegaal om de promiscue-modus te gebruiken op een netwerk waarvan u niet de eigenaar bent of toestemming hebt om te testen.
In het volgende gedeelte worden opnamebestanden behandeld. Met Wireshark kunt u uw vastgelegde gegevens opslaan. In het eerste veld kunt u een enkele bestemming opgeven voor uw opname. Daaronder kunt u het vakje aanvinken om Wireshark in staat te stellen het opnamelogboek te splitsen. Logs kunnen erg groot worden, vooral op grotere netwerken. Met deze functie kunt u uw vastleggegevens automatisch opsplitsen op basis van tijd of bestandsgrootte. Hoe dan ook, het is een handige functie als u te maken hebt met langdurige scans of een druk netwerk.
Daaronder kunt u de duur van uw opname bepalen. Nogmaals, opnames kunnen groot worden, dus je kunt een maximale grootte instellen. U kunt ook een time-out geven, wat leuk is omdat u hiermee een momentopname kunt maken van een specifiek tijdsbestek op uw netwerk.
Leg verkeer vast
Nadat u uw instellingen op orde hebt, kunt u beginnen met het vastleggen van het verkeer op uw netwerk. Als je dit nog nooit eerder hebt gedaan, wees dan voorbereid om verrast te worden. Er stroomt veel meer verkeer dan u weet rond uw netwerk. Om de opname te starten, klikt u op de knop "Start" onderaan het configuratievenster of op het haaienvinpictogram. Hoe dan ook werkt.
Wanneer u begint met opnemen, is de hoeveelheid verkeer die u ziet afhankelijk van de apparaten in uw netwerk. Hoewel de meeste mensen de hoeveelheid verkeer die ze zien niet bij kunnen houden, is het heel goed mogelijk dat je bijna niets ziet. Als dat het geval is, open dan een webbrowser en begin met navigeren. Je opname begint snel te vullen.
Nadat uw opname net zo lang heeft gedraaid als u wilt testen, klikt u op de stopknop in de werkbalk. Wat je hebt moet er ongeveer zo uitzien als de afbeelding hierboven.
Gegevens lezen
Klik op een van de pakketten die u hebt vastgelegd. Probeer een HTTP-verzoek te vinden. Ze zijn meestal gemakkelijker te lezen. Wanneer u een pakket selecteert, vullen de andere twee delen van het scherm zich met informatie over het pakket dat u hebt gekozen.
Het gedeelte waar u op moet letten, heeft gestapelde opvouwbare tabbladen. Die tabbladen volgen het OSI-model en zijn gerangschikt van het laagste niveau naar het hoogste met de laagste niveau-informatie bovenaan. Dat betekent dat de voor u meest relevante informatie waarschijnlijk op de onderste tabbladen staat.
Elk tabblad bevat verschillende informatie over het pakket. In HTTP-pakketten ziet u informatie over het HTTP-verzoek, inclusief het antwoord, headers en mogelijk zelfs HTML. Andere soorten pakketten kunnen informatie bevatten over welke poorten worden gebruikt, codering die wordt gebruikt, protocollen en MAC-adressen.
Pakketten filteren
Het kan lastig zijn om heel veel vastleggegevens te doorzoeken om precies te vinden wat u zoekt. Het is inefficiënt en het is een enorme verspilling van tijd. Wireshark heeft filterfunctionaliteit waarmee u snel pakketten kunt sorteren om precies te vinden wat op dat moment relevant is.
Er zijn een paar eenvoudige manieren waarop u met Wireshark resultaten kunt filteren. Ten eerste heeft het veel ingebouwde filters. Wanneer u begint met het typen in een van de filtervelden, geeft Wireshark ze weer als suggesties om automatisch aan te vullen. Als je daar naar op zoek bent, geweldig! Filteren zal heel eenvoudig zijn.
Wireshark gebruikt ook zogenaamde Booleaanse operatoren. Booleaanse operatoren worden gebruikt om te evalueren of een verklaring waar is of niet. Als u bijvoorbeeld wilt dat aan twee voorwaarden wordt voldaan, gebruikt u de operator 'en' ertussen, omdat voorwaarde 1 en voorwaarde 2 beide waar moeten zijn. De "of" -operator is vergelijkbaar, maar het vereist alleen dat een van uw voorwaarden waar is. U kunt waarschijnlijk raden dat de operator 'niet' zoekt wanneer een voorwaarde niet bestaat.
Naast de Booleaanse operatoren ondersteunt Wireshark vergelijkingsoperatoren. Zoals de naam al doet vermoeden, vergelijken vergelijkingsoperatoren twee of meer voorwaarden. Ze evalueren de gelijkwaardigheid van omstandigheden groter dan, kleiner dan of gelijk aan.
Filteren tijdens opname
Het filteren van uw resultaten tijdens de opname is heel eenvoudig. Maak een back-up van de vastlegopties. Zoek naar de knop "Capture Options" in het midden van het venster. Er moet ook een groot tekstveld naast staan.
U kunt uw filter helemaal opnieuw maken in dat veld, of u kunt op de knop klikken en de ingebouwde filters van Wireshark gebruiken. Klik op de knop. Er wordt een nieuw venster geopend met een lijst met filters. Als u op die filters klikt, worden de onderstaande velden ingevuld. Het onderste veld is het daadwerkelijke filter dat wordt gebruikt. U kunt dat filter wijzigen als basis voor uw eigen, meer aangepaste filters. Wanneer u klaar bent, klikt u op "OK". Voer vervolgens uw scan uit zoals u normaal zou doen. In plaats van alles vast te leggen, zal Wireshark alleen pakketten vastleggen die voldoen aan de voorwaarden van uw filter. Dit maakt het sorteren en categoriseren van uw pakketgegevens veel eenvoudiger. U hoeft niet veel extra informatie te doorzoeken om te vinden wat u nodig hebt.
Resultaten filteren
Als je een volledige opname of een meer robuuste opname hebt gemaakt, maar je wilt er achteraf doorheen filteren, dan kan dat ook. Nadat u een opname hebt gemaakt, ziet u een extra werkbalk onder de bedieningspictogrammen. Die werkbalk heeft een veld "Filter". Je kunt uitdrukkingen intypen die zijn gefilterd om te filteren welke resultaten Wireshark toont.
Zoals met filteren tijdens het vastleggen, is er een eenvoudige manier. Klik op de knop "Expressie" om een venster te openen waarmee u uw filteruitdrukkingen kunt samenstellen. De linkerkolom bevat een lijst met velden. Met die velden kunt u kiezen welke informatie u wilt targeten. De volgende kolom bevat een lijst met mogelijke relaties. De meeste zijn de symbolen voor kleiner dan, groter dan, gelijk aan en combinaties daarvan. De laatste kolom is voor waarden. Dit zijn de waarden waarmee u vergelijkt. Afhankelijk van uw veld kunt u kiezen of schrijven in de waarde waarmee u wilt vergelijken.
Deze kunnen complexer worden en u kunt meer expressies samen toevoegen. Dat valt op de Booleaanse operatoren. Deze Booleans zijn echter anders. Dit expressieveld gebruikt de symbolen voor en, of, en niet in plaats van de woorden zelf. || staat voor "of". && is "en". Een eenvoudig! is niet."
Als u bijvoorbeeld alles behalve UDP wilt, gebruikt u! Udp. Als u HTTP of TCP wilt, probeer dan http || tcp. U kunt ze ook combineren in meer complexe uitdrukkingen. Hoe complexer uw uitdrukking wordt, hoe verfijnder uw filter zal zijn.
Pakketstromen volgen
Als je eenmaal een pakket of pakketten hebt die je interesseren, kun je een geweldige ingebouwde tool in Wireshark gebruiken om het hele "gesprek" te volgen tussen de twee computers die die pakketten uitwisselen. Door pakketstromen te volgen, kan Wirshark het allemaal samenvoegen en een groter resulterend beeld vormen. In het geval van HTTP-pakketten zal Wireshark waarschijnlijk de HTML-bron van een webpagina samenstellen. Met bepaalde niet-gecodeerde VOIP-programma's kan Wireshark zelfs de uitgewisselde audio ophalen. Ja, het kan daadwerkelijk luisteren naar VOIP-gesprekken.
Klik met de rechtermuisknop op een pakket dat u wilt volgen. Selecteer "Volgen … Streamen", waarbij de punten worden vervangen door het protocol van het pakket. Wireshark heeft een paar seconden nodig om alles aan elkaar te naaien. Nadat het is voltooid, presenteert Wireshark u het voltooide resultaat. Deze functie maakt het veel gemakkelijker om precies te zien wat er via uw netwerk wordt uitgewisseld. Het laat ook zien hoe belangrijk netwerkcodering is, omdat deze functie alleen totale onzin samenbrengt met gecodeerde pakketten.
Gedachten sluiten
Wireshark is een absoluut geweldig hulpmiddel in netwerkanalyse. Het geeft u toegang tot alles wat er op uw netwerk gebeurt. Met Wireshark krijgt u een beter inzicht in waar de problemen met uw netwerk liggen, zowel wat betreft snelheid als veiligheid. Vergeet niet om Wireshark altijd met zorg te gebruiken en begrijp dat het zeer opdringerig is. Bespioneer geen mensen en vergeet niet om uw Wireshark-gebruik binnen de wet te houden.
