Passioni › Informatica › Sicurezza

Cattura e analisi pacchetti con Wireshark

1. Cattura base

# Da CLI con tshark
tshark -i eth0 -w capture.pcap

# Solo traffico HTTP
tshark -i eth0 -f "port 80"

# Solo un host specifico
tshark -i eth0 -f "host 192.168.1.100"

2. Filtri di display

# Solo HTTP
http

# Solo DNS
dns

# Pacchetti da un IP specifico
ip.src == 192.168.1.100

# Errori TCP
tcp.analysis.flags

# Login in chiaro (ricerca password)
http.request.method == "POST"

# Traffico SSL/TLS
tls

3. Analisi pratiche

• Follow TCP Stream: ricostruire una conversazione completa
• IO Graphs: visualizzare il traffico nel tempo
• Protocol Hierarchy: distribuzione dei protocolli
• Conversations: chi comunica con chi

4. Rilevamento anomalie

# ARP spoofing
arp.duplicate-address-detected

# Port scanning (molte connessioni SYN)
tcp.flags.syn == 1 && tcp.flags.ack == 0

# DNS tunneling (query molto lunghe)
dns.qry.name.len > 50

Risultato: Capacità di analizzare il traffico di rete per troubleshooting e rilevamento intrusioni.