¿Qué es Wireshark?
enlaces rápidos
- ¿Qué es Wireshark?
- Instalando Wireshark
- Ventanas
- Mac
- Linux
- La interfaz
- Opciones de captura
- Capturar el tráfico
- Leer los datos
- Filtrar paquetes
- Filtrado durante la captura
- Resultados de filtrado
- Siguiendo las secuencias de paquetes
- Pensamientos finales
Wireshark es una poderosa herramienta de análisis de red que le permite monitorear y capturar el tráfico de red. Captura el tráfico a nivel de paquete, lo que significa que puede ver cada bit de información que se pasa por su red, lo que contiene y hacia dónde va.
Esta herramienta le permite visualizar y comprender el flujo de tráfico dentro de una red. Al ver qué datos se están transmitiendo, también puede obtener información sobre cualquier posible problema de seguridad que pueda enfrentar, así como cualquier tráfico potencialmente no deseado, como malware, programas que acaparan el ancho de banda e incluso invitados no deseados en su WiFi.
Wireshark también es una herramienta importante porque le permite ver exactamente cómo los datos que salen de su red se envían a Internet. Por ejemplo, puede ver y leer solicitudes HTTP, lo que le permite ver qué datos se envían sin cifrar. Eso podría ser un gran problema, especialmente si esos datos son algo así como una contraseña bancaria.
Instalando Wireshark
Wireshark es de código abierto y multiplataforma. Está disponible de forma gratuita y para todos los principales sistemas operativos. Los controles dentro del programa son exactamente los mismos en todas las plataformas, por lo que no hay que preocuparse. Las imágenes son de Linux, pero todo lo que verá funcionará también en Windows y Mac.
Ventanas
Vaya a la página de descarga de Wireshark y descargue la última versión para su versión de Windows. Ejecute el .exe resultante. El instalador es bastante estándar. Puede hacer clic en la mayor parte y usar los valores predeterminados.
Sin embargo, hay una cosa que debes tener en cuenta. Aparecerá una pantalla preguntándole si desea instalar WinPcap. WinPcap es una utilidad adicional para Wireshark en Windows que le permite capturar todo el tráfico en una red, en lugar de solo el tráfico de su computadora. Marque la casilla para instalar WinPcap. También le preguntará sobre la versión USB. Eso no es necesario, pero también puedes incluirlo.
Después de eso, la instalación se completará. Se iniciará una nueva instalación para WinPcap. Los valores predeterminados son aceptables allí también.
Mac
Vaya a la página de descarga de Wireshark y obtenga el último archivo .dmg. Cuando finalice la descarga, haga doble clic en el archivo para abrirlo. Arrastre la aplicación abierta a su carpeta / Aplicaciones para instalar Wireshark.
Linux
La mayoría de las distribuciones de Linux tienen Wireshark disponible en sus repositorios. Instálelo con su administrador de paquetes.
$ sudo apt install wireshark-gtk
Dependiendo de su distribución, se le preguntará si desea permitir que los usuarios regulares capturen paquetes. Debería decir "Sí". Después de instalar el paquete, agregue a su usuario el grupo Wireshark. Salga y vuelva a iniciar sesión cuando haya terminado.
$ sudo gpasswd -un usuario wireshark
La interfaz
Cuando abra Wireshark por primera vez, verá una pantalla similar a la de arriba. Hay bastantes botones arriba en las barras de herramientas, y puede parecer abrumador, pero es mucho más simple de lo que probablemente piensas.
La interfaz de captura predeterminada es un poco incómoda. Puede cambiar el diseño para que sea más cómodo, haga clic en "Editar". Busque el menú "Preferencias" y la parte inferior, y ábralo. Debajo de las preferencias, verá una pestaña "Diseño" a la izquierda. Seleccionarlo Verá varios iconos que representan diferentes opciones de diseño. Elige el que mejor te parezca. La primera opción con el diseño apilado generalmente funciona bien.
No te preocupes demasiado por las barras de herramientas todavía. Los primeros cinco íconos son los más importantes. En orden, le permiten seleccionar una interfaz para capturar, cambiar la configuración de captura, iniciar una captura, detener una captura y reanudar una. Los íconos en sí son bastante intuitivos.
Opciones de captura
Antes de comenzar a capturar tráfico, debe explorar las opciones de captura para ver qué puede hacer Wireshark. Haga clic en el icono de opciones de captura. Debería verse como un engranaje.
Lo primero que verá en la parte superior de la ventana es una tabla que enumera todas sus interfaces de red. Marque la casilla junto a la interfaz que desea capturar. En la mayoría de los casos, la interfaz que desea es la que está utilizando para conectarse a la red. Será el que corresponda a su puerto Ethernet o dispositivo WiFi.
Debajo de eso, verá un par de casillas de verificación. Uno le preguntará si desea usar el modo promiscuo. El modo promiscuo es lo que le permite ver los intercambios entre todos los dispositivos en una red, no solo su propia computadora. Lo más probable es que desee habilitar esto. Pero ten cuidado . Usar el modo promiscuo en una red que no es de su propiedad o que no tiene permiso para probar es ilegal .
La siguiente sección abajo cubre los archivos de captura. Wireshark le permite guardar sus datos capturados. El primer campo allí le permite especificar un único destino para su captura. Debajo de eso, puede marcar la casilla para permitir que Wireshark rompa el registro de captura. Los registros pueden ser muy grandes, especialmente en redes más grandes. Esta característica le permite dividir sus datos de captura automáticamente según el tiempo o el tamaño del archivo. De cualquier manera, es una característica conveniente cuando se trata de escaneos a largo plazo o una red ocupada.
Debajo de eso, puede controlar la duración de su captura. Una vez más, las capturas pueden aumentar, por lo que puede establecer un tamaño máximo. También puede agotar el tiempo, lo cual es bueno porque le permite tomar una instantánea de un marco de tiempo específico en su red.
Capturar el tráfico
Una vez que tenga su configuración en orden, puede comenzar a capturar el tráfico en su red. Si nunca antes has hecho este tipo de cosas, prepárate para sorprenderte. Hay mucho más tráfico del que sabe circulando por su red. Para comenzar la captura, haga clic en el botón "Inicio" en la parte inferior de la ventana de configuración o en el icono de aleta de tiburón. De cualquier manera funciona.
Cuando comienza a grabar, la cantidad de tráfico que ve depende de qué dispositivos estén en su red. Si bien la mayoría de las personas no podrán mantenerse al día con la carga de tráfico que ven, es muy posible que no vean casi nada. Si ese es el caso, abra un navegador web y comience a navegar. Su captura comenzará a poblarse rápidamente.
Después de que su captura se haya ejecutado durante el tiempo que desee probar, haga clic en el botón detener en la barra de herramientas. Lo que tienes debe parecerse a la imagen de arriba.
Leer los datos
Haga clic en uno de los paquetes que capturó. Intenta encontrar una solicitud HTTP. Tienden a ser más fáciles de leer. Cuando selecciona un paquete, las otras dos secciones de la pantalla se llenan de información sobre el que seleccionó.
La sección a la que debe prestar atención tiene pestañas plegables apiladas. Esas pestañas siguen el modelo OSI y se ordenan del nivel más bajo al más alto con la información del nivel más bajo en la parte superior. Eso significa que la información más relevante para usted está probablemente en las pestañas inferiores.
Cada pestaña contiene información diferente sobre el paquete. En los paquetes HTTP, verá información sobre la solicitud HTTP, incluida la respuesta, los encabezados y posiblemente incluso algo de HTML. Otros tipos de paquetes pueden contener información sobre qué puertos están en uso, encriptación, protocolos y direcciones MAC.
Filtrar paquetes
Puede ser una tarea de excavación a través de un montón de datos de captura para encontrar exactamente lo que está buscando. Es ineficiente y es una gran pérdida de tiempo. Wireshark tiene una funcionalidad de filtrado que le permite clasificar rápidamente los paquetes para encontrar exactamente lo que es relevante en un momento dado.
Hay algunas formas básicas en que Wireshark le permite filtrar los resultados. Primero, tiene muchos filtros incorporados. Cuando comience a escribir en uno de los campos de filtro, Wireshark los mostrará como sugerencias para autocompletar. Si alguno de esos es lo que estás buscando, ¡genial! El filtrado será muy fácil.
Wireshark también usa lo que se llama operadores booleanos. Los operadores booleanos se utilizan para evaluar si una declaración es verdadera o no. Por ejemplo, cuando desea que se cumplan dos condiciones, usaría el operador "y" entre ellas porque la condición 1 y la condición 2 deben ser ciertas. El operador "o" es similar, solo que requiere que una de sus condiciones sea verdadera. Probablemente pueda adivinar que el operador "no" busca cuando no existe una condición.
Además de los operadores booleanos, Wireshark admite operadores de comparación. Como su nombre indica, los operadores de comparación comparan dos o más condiciones. Evalúan la equivalencia de las condiciones como mayor que, menor que o igual a.
Filtrado durante la captura
Filtrar sus resultados durante la captura es muy fácil. Abra una copia de seguridad de las opciones de captura. Busque el botón "Opciones de captura" hacia el centro de la ventana. También debe haber un campo de texto grande al lado.
Puede construir su filtro desde cero en ese campo, o puede hacer clic en el botón y usar los filtros integrados de Wireshark. Intenta hacer clic en el botón. Se abrirá una nueva ventana con una lista de filtros. Al hacer clic en esos filtros, se rellenan los campos a continuación. El campo inferior es el filtro real que se está utilizando. Puede modificar ese filtro como base de sus propios filtros más personalizados. Cuando esté listo, haga clic en "Aceptar". Luego, ejecute su escaneo como lo haría normalmente. En lugar de capturar todo, Wireshark solo capturará paquetes que cumplan con las condiciones de su filtro. Esto hace que ordenar y categorizar los datos de su paquete sea mucho más fácil. No necesita buscar mucha información adicional para encontrar lo que necesita.
Resultados de filtrado
Si realizó una captura completa o una captura más robusta, pero desea filtrarla después del hecho, también puede hacerlo. Después de realizar una captura, verá una barra de herramientas adicional debajo de los iconos de control. Esa barra de herramientas presenta un campo "Filtro". Puede escribir expresiones en ese archivo para filtrar los resultados que muestra Wireshark.
Al igual que con el filtrado durante la captura, hay una manera fácil. Haga clic en el botón "Expresión" para abrir una ventana que lo ayude a armar sus expresiones de filtro. La columna izquierda contiene una lista de campos. Esos campos le permiten elegir a qué información se dirigirá. La siguiente columna contiene una lista de posibles relaciones. La mayoría son los símbolos de menor que, mayor que, igual a y combinaciones de ellos. La columna final es para valores. Estos son los valores con los que se compara. Dependiendo de su campo, puede elegir o escribir el valor con el que desea comparar.
Estos pueden volverse más complejos y puede agregar más expresiones juntas. Eso recae en los operadores booleanos. Sin embargo, estos booleanos son diferentes. Este campo de expresión usa los símbolos para y, o, y no en lugar de las palabras mismas. || significa "o". && es "y". ¡Un simple! no es."
Por ejemplo, si quiere todo menos UDP, use! Udp. Si desea HTTP o TCP, intente http || tcp. Puedes combinarlos también en expresiones más complejas. Cuanto más compleja sea tu expresión, más refinado será tu filtro.
Siguiendo las secuencias de paquetes
Una vez que tenga un paquete o paquetes que le interesen, puede usar una increíble herramienta integrada en Wireshark para seguir toda la "conversación" entre las dos computadoras que intercambian esos paquetes. Seguir las secuencias de paquetes permite a Wirshark ponerlo todo junto y formar una imagen resultante más grande. En el caso de los paquetes HTTP, Wireshark probablemente juntará la fuente HTML de una página web. Con ciertos programas VOIP sin cifrar, Wireshark puede incluso recuperar el audio intercambiado. Sí, en realidad puede escuchar conversaciones VOIP.
Haga clic derecho en un paquete que desea seguir. Seleccione "Seguir … Transmitir", con los puntos reemplazados por el protocolo del paquete. Wireshark tardará unos segundos en unirlo todo. Después de que termine, Wireshark te presentará el resultado completo. Esta característica hace que sea mucho más fácil ver exactamente lo que se intercambia a través de su red. También demuestra cuán importante es el cifrado de la red, ya que esta característica solo combinará tonterías totales con paquetes cifrados.
Pensamientos finales
Wireshark es una herramienta absolutamente increíble en el análisis de redes. Le da acceso para ver todo lo que sucede en su red. Con Wireshark, puede obtener una mejor comprensión de dónde residen los problemas con su red, tanto en términos de velocidad como de seguridad. Recuerde usar siempre Wireshark con cuidado y comprender que es muy intrusivo. No espíe a las personas y recuerde mantener su uso de Wireshark dentro de la ley.
