Tutorial mendalam WireShark

Wireshark adalah alat inspeksi lalu lintas jaringan sumber terbuka dan gratis. Ini menangkap dan menampilkan paket secara real-time untuk analisis offline dalam format yang dapat dibaca manusia dengan detail mikroskopis. Ini membutuhkan beberapa pengetahuan tentang jaringan dasar dan dianggap sebagai alat penting untuk administrator sistem dan pakar keamanan jaringan network.

Wireshark adalah alat bantu de-facto untuk beberapa masalah jaringan yang bervariasi dari pemecahan masalah jaringan, pemeriksaan masalah keamanan, memeriksa lalu lintas jaringan dari aplikasi yang mencurigakan, implementasi protokol debugging, bersama dengan tujuan pembelajaran protokol jaringan, dll.

Proyek Wireshark dimulai pada tahun 1998. Berkat kontribusi sukarela pakar jaringan global, ia terus membuat pembaruan untuk teknologi baru dan standar enkripsi. Oleh karena itu, ini adalah salah satu alat penganalisis paket terbaik dan digunakan sebagai alat komersial standar oleh berbagai lembaga pemerintah, lembaga pendidikan, dan organisasi nirlaba.

Alat Wireshark terdiri dari serangkaian fitur yang kaya. Beberapa di antaranya adalah sebagai berikut:

Multiplatform: tersedia untuk sistem Unix, Mac, dan Window.
Ini menangkap paket dari berbagai media jaringan, yaitu.e., LAN nirkabel, Ethernet, USB, Bluetooth, dll,.
Ini membuka file paket yang diambil oleh program lain seperti Oracle snoop dan atmsnoop, Nmap, tcpdump, Microsoft Network Monitor, SNORT, dan banyak lainnya.
Ini menyimpan dan mengekspor data paket yang diambil dalam berbagai format (CSV, XML, plaintext, dll.).
Ini memberikan dukungan deskripsi untuk protokol termasuk SSL, WPA/WPA2, IPsec, dan banyak lainnya.
Ini termasuk menangkap dan menampilkan filter.

Namun, Wireshark tidak akan memperingatkan Anda tentang aktivitas berbahaya apa pun. Ini hanya akan membantu Anda memeriksa dan mengidentifikasi apa yang terjadi di jaringan Anda. Selain itu, ini hanya akan menganalisis protokol/aktivitas jaringan dan tidak akan melakukan aktivitas lain seperti mengirim/menyadap paket.

Artikel ini memberikan tutorial mendalam yang dimulai dengan dasar-dasar (i.e., pemfilteran, lapisan jaringan Wireshark, dll.) dan membawa Anda ke kedalaman analisis lalu lintas.

Filter Wireshark

Wireshark hadir dengan mesin filter yang kuat, Filter Tangkap dan Filter Tampilan, untuk menghilangkan kebisingan dari jaringan atau lalu lintas yang sudah ditangkap. Filter ini mempersempit lalu lintas yang tidak diperlukan dan hanya menampilkan paket yang ingin Anda lihat. Fitur ini membantu administrator jaringan untuk memecahkan masalah yang dihadapi.

Sebelum masuk ke detail filter. Jika Anda bertanya-tanya bagaimana cara menangkap lalu lintas jaringan tanpa filter apa pun, Anda dapat menekan Ctrl+E atau pergi ke opsi Tangkap pada antarmuka Wireshark dan klik Mulai.

Sekarang, mari gali lebih dalam filter yang tersedia.

Filter Tangkap

Wireshark memberikan dukungan dalam mengurangi ukuran tangkapan paket mentah dengan memungkinkan Anda menggunakan Filter Tangkap. Tapi itu hanya menangkap lalu lintas paket yang cocok dengan filter dan mengabaikan sisanya. Fitur ini membantu Anda memantau dan menganalisis lalu lintas aplikasi tertentu menggunakan jaringan.

Jangan bingung filter ini dengan filter tampilan. Ini bukan filter tampilan. Filter ini muncul di jendela utama yang perlu diatur sebelum memulai pengambilan paket. Selain itu, Anda tidak dapat mengubah filter ini selama pengambilan.

Anda bisa pergi ke Menangkap opsi antarmuka dan pilih Filter Tangkap.

Anda akan diminta dengan sebuah jendela, seperti yang ditunjukkan pada snapshot. Anda dapat memilih filter apa pun dari daftar filter atau menambah/membuat filter baru dengan mengklik + tombol.

Contoh daftar Filter Tangkap yang bermanfaat:

host ip_address - menangkap lalu lintas, hanya antara alamat IP komunikasi tertentu
bersih 192.168.0.0/24 - menangkap lalu lintas antara rentang alamat IP/CIDR
pelabuhan 53 - menangkap lalu lintas DNS
tcp portrange 2051-3502 - menangkap lalu lintas TCP dari kisaran port 2051-3502
port bukan 22 dan bukan 21 - tangkap semua lalu lintas kecuali SSH dan FTP

Filter Tampilan

Filter tampilan memungkinkan Anda menyembunyikan beberapa paket dari lalu lintas jaringan yang sudah ditangkap. Filter ini dapat ditambahkan di atas daftar yang diambil dan dapat dimodifikasi dengan cepat. Anda sekarang dapat mengontrol dan mempersempit paket yang ingin Anda fokuskan sambil menyembunyikan paket yang tidak perlu.

Anda dapat menambahkan filter di bilah alat filter tampilan tepat di atas panel pertama yang berisi informasi paket. Filter ini dapat digunakan untuk menampilkan paket berdasarkan protokol, alamat IP sumber, alamat IP tujuan, port, nilai dan informasi bidang, perbandingan antar bidang, dan banyak lagi.

Betul sekali! Anda dapat membuat kombinasi filter menggunakan operator logika seperti ==.!=,||,&&, dll.

Beberapa contoh filter tampilan protokol TCP tunggal dan filter kombinasi ditunjukkan di bawah ini:

Lapisan Jaringan di Wireshark

Selain inspeksi paket, Wireshark menghadirkan lapisan OSI yang membantu dalam proses pemecahan masalah. Wireshark menunjukkan lapisan dalam urutan terbalik, seperti:

Lapisan fisik
Lapisan Tautan Data
Lapisan Jaringan
Lapisan Transportasi
Lapisan Aplikasi

Perhatikan bahwa Wireshark tidak selalu menampilkan lapisan Fisik. Kami sekarang akan menggali di setiap lapisan untuk memahami aspek penting dari analisis paket, dan apa yang disajikan setiap lapisan di Wireshark.

Lapisan fisik

Lapisan Fisik, seperti yang ditunjukkan pada cuplikan berikut, menyajikan ringkasan fisik bingkai, seperti informasi perangkat keras. Sebagai administrator jaringan, Anda biasanya tidak mengekstrak informasi dari lapisan ini.

Lapisan Tautan Data

Lapisan tautan data berikutnya berisi alamat kartu jaringan sumber dan tujuan. Ini relatif sederhana karena hanya mengirimkan bingkai dari laptop ke router atau bingkai berikutnya yang berdekatan di media fisik.

Lapisan Jaringan

Lapisan jaringan menyajikan alamat IP sumber dan tujuan, versi IP, panjang header, panjang paket total, dan banyak informasi lainnya.

Lapisan Transportasi

Pada lapisan ini, Wireshark menampilkan informasi tentang lapisan transport, yang terdiri dari port SRC, port DST, panjang header, dan nomor urut yang berubah untuk setiap paket.

Lapisan Aplikasi

Di lapisan terakhir, Anda dapat melihat jenis data apa yang dikirim melalui media dan aplikasi mana yang digunakan, seperti FTP, HTTP, SSH, dll.

Analisis Lalu Lintas

Analisis Lalu Lintas ICMP

ICMP digunakan untuk pelaporan dan pengujian kesalahan dengan menentukan apakah data mencapai tujuan yang diinginkan tepat waktu atau tidak. Utilitas Ping menggunakan pesan ICMP untuk menguji kecepatan koneksi antar perangkat, dan melaporkan berapa lama waktu yang dibutuhkan paket untuk mencapai tujuannya kemudian kembali.

Ping menggunakan pesan ICMP_echo_request ke perangkat di jaringan, dan perangkat merespons dengan pesan ICMP_echo_reply. Untuk menangkap paket di Wireshark, mulai fungsi Capture dari Wireshark, buka terminal, dan jalankan perintah berikut:

ubuntu$ubuntu:~$ ping google.com

Menggunakan Ctrl+C untuk menghentikan proses pengambilan paket di Wireshark. Dalam cuplikan di bawah ini, Anda dapat melihat Paket ICMP terkirim = Paket ICMP diterima dengan kehilangan paket 0%.

Di panel pengambilan Wireshark, pilih paket ICMP_echo_request pertama dan amati detailnya dengan membuka panel tengah Wireshark.

Di Lapisan Jaringan, Anda dapat melihat sumbernya Src sebagai ip_address saya, sedangkan tujuan Dst ip_address adalah server Google, sedangkan lapisan IP menyebutkan protokolnya adalah ICMP.

Sekarang, kita memperbesar rincian paket ICMP dengan memperluas Internet Control Message Protocol dan memecahkan kode kotak yang disorot dalam snapshot di bawah ini:

Ketik: bidang 08-bit diatur ke 8 berarti pesan permintaan Echo
Kode: selalu nol untuk paket ICMP
checksum: 0x46c8
Nomor Pengenal (BE): 19797
Nomor Pengenal (LE): 21837
Nomor Urutan (BE): 1
Nomor Urutan (LE): 256

Pengidentifikasi dan nomor urut dicocokkan untuk membantu mengidentifikasi balasan untuk permintaan gema. Demikian pula, sebelum transmisi paket, checksum dihitung dan ditambahkan ke lapangan untuk dibandingkan dengan checksum dalam paket data yang diterima.

Sekarang, dalam paket balasan ICMP, perhatikan lapisan IPv4. Alamat sumber dan tujuan telah bertukar.

Di lapisan ICMP, verifikasi dan bandingkan bidang penting berikut:

Ketik: bidang 08-bit disetel ke 0 berarti pesan balasan Echo
Kode: selalu 0 untuk paket ICMP
checksum: 0x46c8
Nomor Pengenal (BE): 19797
Nomor Pengenal (LE): 21837
Nomor Urutan (BE): 1
Nomor Urutan (LE): 256

Anda dapat melihat bahwa balasan ICMP menggemakan checksum, pengenal, dan nomor urut permintaan yang sama same.

Analisis Lalu Lintas HTTP

HTTP adalah protokol lapisan aplikasi Transfer Hypertext. Ini digunakan oleh world wide web dan mendefinisikan aturan ketika klien/server HTTP mentransmisikan/menerima perintah HTTP. Metode HTTP yang paling umum digunakan yaitu POST dan GET:

POS: metode ini digunakan untuk mengirim informasi rahasia secara aman ke server yang tidak muncul di URL.

DAPATKAN: metode ini biasanya digunakan untuk mengambil data dari bilah alamat dari server web.

Sebelum kita menggali lebih dalam analisis paket HTTP, pertama-tama kita akan mendemonstrasikan secara singkat jabat tangan tiga arah TCP di Wireshark.

Jabat Tangan Tiga Arah TCP

Dalam jabat tangan tiga arah, klien memulai koneksi dengan mengirimkan paket SYN dan menerima respons SYN-ACK dari server, yang diakui oleh klien. Kami akan menggunakan perintah Nmap TCP connect scan untuk menggambarkan jabat tangan TCP antara klien dan server.

ubuntu$ubuntu:~$ nmap -sT google.com

Di panel pengambilan paket Wireshark, gulir ke bagian atas jendela untuk melihat berbagai jabat tangan tiga arah yang dibuat berdasarkan port tertentu.

Menggunakan tcp.pelabuhan == 80 filter untuk melihat apakah koneksi dibuat melalui port 80. Anda dapat melihat jabat tangan tiga arah yang lengkap, i.e., SYN, SYN-ACK, dan ACK, disorot di bagian atas snapshot, menggambarkan koneksi yang andal.

Analisis Paket HTTP

Untuk analisis paket HTTP, buka browser Anda dan tempel URL dokumentasi Wireshark: http://www.pembuat wafel.com dan unduh panduan pengguna PDF. Sementara itu, Wireshark harus menangkap semua paket.

Terapkan filter HTTP dan cari DAPATKAN HTTP permintaan dikirim ke server oleh klien. Untuk melihat paket HTTP, pilih, dan perluas lapisan aplikasi di panel tengah. Mungkin ada banyak tajuk dalam permintaan, tergantung pada situs web dan browser juga. Kami akan menganalisis tajuk yang ada dalam permintaan kami dalam cuplikan di bawah ini.

Metode Permintaan: metode permintaan HTTP adalah GET
Tuan rumah: mengidentifikasi nama server
Agen pengguna: menginformasikan tentang jenis browser sisi klien
Terima, Terima-Encoding, Terima-bahasa: menginformasikan server tentang jenis file, pengkodean yang diterima di sisi klien, i.e., gzip, dll., dan bahasa yang diterima
Kontrol-Tembolok: menunjukkan bagaimana informasi yang diminta di-cache
Pragma: menunjukkan nama dan nilai cookie yang dimiliki browser untuk situs web
Koneksi: header yang mengontrol apakah koneksi tetap terbuka setelah transaksi

Dalam HTTP Oke paket dari server ke klien, mengamati informasi di lapisan Hypertext Transfer Protocol menunjukkan “200 Oke“. Informasi ini menunjukkan transfer sukses normal. Dalam paket HTTP OK, Anda dapat mengamati header yang berbeda dibandingkan dengan DAPATKAN HTTP paket. Header ini berisi informasi tentang konten yang diminta.

Versi Respons: menginformasikan tentang versi HTTP
Kode Status, Frasa Respons: dikirim oleh server
Tanggal: waktu ketika server menerima paket HTTP GET
Server: detail server (Nginx, Apache, dll.)
Jenis konten: jenis konten (json, txt/html, dll.)
Panjang konten: total panjang konten; file kami adalah 39696 byte

Di bagian ini, Anda telah mempelajari cara kerja HTTP dan apa yang terjadi setiap kali kami meminta konten di web.

Kesimpulan

Wireshark adalah alat analisis dan sniffer jaringan yang paling populer dan kuat. Ini banyak digunakan dalam tugas analisis paket sehari-hari di berbagai organisasi dan lembaga. Pada artikel ini, kami telah mempelajari beberapa topik Wireshark tingkat pemula hingga menengah di Ubuntu. Kami telah mempelajari jenis filter yang ditawarkan oleh Wireshark untuk analisis paket. Kami telah membahas model lapisan jaringan di Wireshark dan melakukan analisis paket ICMP dan HTTP yang mendalam.

Namun, mempelajari dan memahami berbagai aspek alat ini adalah perjalanan panjang yang sulit. Oleh karena itu, ada banyak kuliah dan tutorial online lain yang tersedia untuk membantu Anda seputar topik tertentu Wireshark. Anda dapat mengikuti panduan pengguna resmi yang tersedia di situs web Wireshark. Selain itu, setelah Anda membangun pemahaman dasar tentang analisis protokol, Anda juga disarankan untuk menggunakan alat seperti Varonis yang mengarahkan Anda pada potensi ancaman dan kemudian menggunakan Wireshark untuk menyelidiki untuk pemahaman yang lebih baik.