Mastering Wireshark: The Complete Tutorial!

Was ist Wireshark?

Einführung in Wireshark

• Heute sprechen wir über Wireshark, ein nützliches Tool zur Überwachung von Netzwerken. Es hilft uns zu verstehen, was im Hintergrund passiert.

• Wireshark ist wie ein Detektivwerkzeug für Computernetzwerke und ermöglicht die Echtzeitanalyse von Datenströmen über verschiedene Verbindungen wie Ethernet und WLAN.

Funktionen von Wireshark

• Das Tool kann zur Fehlersuche verwendet werden oder um Netzwerkprotokolle besser zu verstehen. Es ist besonders hilfreich für Technikprofis, Sicherheitsfachleute und Studenten.

• Wireshark funktioniert auf allen gängigen Betriebssystemen (Windows, Linux, Mac OS, Unix) und bietet Live-Paketaufzeichnung sowie die Möglichkeit, Daten aus anderen Tools zu analysieren.

Wie installiert man Wireshark?

Download und Installation

• Um Wireshark herunterzuladen, besuchen Sie die offizielle Website und wählen Ihr Betriebssystem aus. Der Download startet automatisch.

• Bei KALI Linux ist keine separate Installation erforderlich, da es vorinstalliert ist. Für andere Distributionen gibt es Videoanleitungen zur Installation.

Öffnen von Wireshark

• Um Wireshark in Kali Linux zu öffnen, gehen Sie zum Anwendungsmenü unter "Sniffing and Spoofing" oder verwenden Sie das Terminal mit dem Befehl wireshark.

Erste Schritte mit der Benutzeroberfläche

Auswahl der Schnittstelle

• Wählen Sie die Schnittstelle aus, von der Sie Daten erfassen möchten. Wireshark erkennt automatisch aktive Schnittstellen.

Verständnis der Protokolle

• Vor der Datenerfassung sollten Nutzer grundlegende Kenntnisse über Netzwerkprotokolle haben; diese sind entscheidend für die Nutzung von Wireshark.

Benutzeroberfläche und Funktionen

Menüleiste und Werkzeugleiste

• Die Menüleiste fungiert als zentrales Steuerungselement für alle Werkzeuge in Wireshark. Die Werkzeugleiste bietet schnellen Zugriff auf häufig verwendete Funktionen.

Filterfunktionen

• Mit den Filterfunktionen können spezifische Kriterien eingegeben werden, um relevante Pakete anzuzeigen. Dies erleichtert die Analyse erheblich.

WireShark: Einführung in die Benutzeroberfläche und erste Schritte

Überblick über das Packet List Pane

• Das Packet List Pane bietet eine umfassende Liste der von WireShark erfassten Pakete, die durch das Netzwerk reisen. Es ermöglicht eine visuelle Darstellung des Datenflusses.

• Durch Auswahl eines Pakets wird das Packet Details Pane sichtbar, welches Informationen wie Ursprung, Ziel und verwendete Protokolle anzeigt.

• Der Bytes Pane zeigt die tatsächlichen Daten innerhalb der Pakete in hexadezimaler Form sowie deren ASCII-Werte an, was dem Entschlüsseln einer geheimen Nachricht ähnelt.

• Die Statusleiste am unteren Ende der Benutzeroberfläche gibt Echtzeit-Updates zu den Aktivitäten von WireShark, einschließlich der Gesamtzahl erfasster Pakete und der Erfassungsdauer.

Probleme bei der Paketaufnahme

• Wenn im Packet List Pane keine Pakete angezeigt werden, kann dies daran liegen, dass kein Netzwerkverkehr vorhanden ist oder die Pakete nicht für Ihr Gerät bestimmt sind.

• Der Promiscuous Mode muss aktiviert sein; andernfalls erfasst WireShark möglicherweise nicht alle Netzwerkpakete.

Erste Schritte mit WireShark

• Nach dem Verständnis der Grundlagen können Sie Ihre erste Erfassungssitzung starten. Dies umfasst das Öffnen von WireShark und die Auswahl einer verfügbaren Schnittstelle zur Datenerfassung.

• Um sicherzustellen, dass WireShark effektiv Daten erfasst, öffnen Sie einen Browser und suchen nach etwas. Dadurch sollten relevante Datenpakete sichtbar werden.

Speichern von erfassten Paketen

• Um die erfassten Pakete für spätere Analysen zu speichern oder zu teilen, klicken Sie auf das Speicher-Symbol. Ein Fenster öffnet sich zur Eingabe eines Dateinamens.

• Standardmäßig speichert WireShark im pcap NG-Dateiformat; andere Formate wie pcap sind ebenfalls verfügbar.

Filteroptionen in WireShark

• In diesem Abschnitt werden verschiedene Filteroptionen behandelt, um Ihre Analyseerfahrung zu verbessern. Filter helfen dabei, nur relevante Daten anzuzeigen und den Arbeitsablauf effizienter zu gestalten.

Arten von Filtern

• Es gibt zwei Haupttypen von Filtern: Capture Filters (Erfassungsfilter), die spezifische Pakete erfassen und andere verwerfen; Display Filters (Anzeigefilter), die keine Pakete verwerfen sondern nur solche ausblenden, die nicht den Kriterien entsprechen.

Bedeutung der Filter

• Die Verwendung von Capture Filters hilft dabei, Ressourcen zu sparen und nur relevante Daten zu erfassen. Einmal verworfene Pakete können nicht wiederhergestellt werden.

Wie man Filter in Wireshark effektiv nutzt

Einführung in die Filteroptionen

• In Wireshark können Pakete nach Anwendung eines Filters in der Statusleiste angezeigt werden. Das Verständnis von Capture- und Display-Filtern kann die Analysefähigkeiten erheblich verbessern.

• Eine umfassende Filteranleitung wird vorgestellt, jedoch können nicht alle Optionen im Video behandelt werden. Ein hilfreiches Cheat Sheet von Station X wird empfohlen, um verschiedene Filtertechniken zu erlernen.

Grundlegende Filteroptionen

• Das Cheat Sheet ist eine wertvolle Ressource für komplexe Filterszenarien und sollte während der Netzwerkanalysen als Referenz verwendet werden.

• Um nur TCP-Verkehr anzuzeigen, kann einfach "TCP" in die Filterleiste eingegeben werden. Dies ist nützlich für Web-Browsing oder Dateiübertragungen.

• Für UDP-Pakete, wie sie bei Video-Streaming oder VoIP-Anrufen verwendet werden, genügt es, "UDP" einzugeben.

Spezifische IP-Adressen und MAC-Adressen filtern

• Bei der Fehlersuche eines Webservers kann durch Eingabe von "http" in die Filterleiste nur HTTP-Verkehr angezeigt werden.

• Um den Verkehr zwischen dem Computer und einer bestimmten IP-Adresse (z.B. 192.168.1.1) zu filtern, gibt man "ip == 192.168.1.1" ein.

Ports und logische Operatoren nutzen

• Ports sind entscheidend für die Netzwerkkommunikation; z.B., um HTTP-Verkehr über Port 80 zu analysieren, gibt man "tcp.port == 80" ein.

• Logische Operatoren wie AND, OR und NOT ermöglichen komplexere Filterkombinationen zur gezielten Analyse des Datenverkehrs.

Farbige Darstellung des Verkehrs

• Wireshark bietet eine Funktion zur Farbgebung des Verkehrs, um verschiedene Datensätze leichter unterscheiden zu können.

• Standardfarbregeln sind bereits vorhanden; diese können unter „View“ > „Coloring Rules“ eingesehen werden.

Anpassung der Analyseumgebung mit Profilen

• Profile in Wireshark ermöglichen personalisierte Setups zur Zeitersparnis bei der Netzwerkanalyse; sie umfassen verschiedene Komponenten wie Capture-Filters und Farbschemata.

• Das Importieren und Exportieren von Profilen ist unkompliziert; dies erleichtert das Arbeiten auf unterschiedlichen Netzwerken ohne gewohnte Tools.

Diese Notizen bieten einen strukturierten Überblick über die Nutzung von Filtern in Wireshark sowie deren Bedeutung für eine effektive Netzwerkverkehrsanalyse.

Statistiken und Analyse in Wireshark

Einführung in die Profilverwaltung

• Änderungen an Profilen beeinflussen nicht andere gespeicherte Profile, was Flexibilität für spezifische Netzwerkanalysen bietet.

• Diese Flexibilität spart Zeit und macht Aufgaben effizienter.

Statistiken in Wireshark

• Die Statistiken reichen von grundlegenden Metriken bis hin zu detaillierten Informationen über verwendete Protokolle.

• Der Tab „Capture File Properties“ bietet umfassende Informationen über die erfassten Pakete, einschließlich Dateigröße und Hashes zur eindeutigen Identifizierung.

Erfassungsdetails

• Wichtige Details umfassen den Zeitpunkt der ersten und letzten Paketaufnahme sowie die Gesamtdauer der Erfassung.

• Informationen über das verwendete Hardware-Betriebssystem und Software werden bereitgestellt, z.B. Intel Core i7 unter Linux mit Wireshark Version 4.2.2.

Datenübertragung und Statistik

• Die Statistiksektion zeigt die Gesamtzahl der erfassten Pakete, analysierte Pakete, durchschnittliche Paketgrößen und Übertragungsraten.

• Notizen oder Kommentare während der Erfassung können hier gespeichert werden, um spätere Analysen zu unterstützen.

Adressauflösung

• Aufgelöste Adressen konvertieren Netzwerkadressen (z.B. IP-Adressen) in menschenlesbare Namen wie Domainnamen.

• Dies geschieht durch Protokolle wie DNS für IP-Adressen und ARP für MAC-Adressen, was bei der Identifizierung von Geräten hilfreich ist.

Protokollhierarchie und Gespräche

Überblick über Protokolle

• Das Fenster „Protokollhierarchie“ gibt einen Überblick über die Verteilung der verwendeten Protokolle im Kommunikationsprozess.

• Es hilft dabei, ungewöhnliche Aktivitäten im Netzwerk zu erkennen, indem es eine Übersicht darüber bietet, wie Daten zwischen Hosts fließen.

Detaillierte Analyse des Verkehrs

• Mit einem Rechtsklick auf ein Protokoll kann man spezifische Filter anwenden, um gezielt Verkehrstypen zu untersuchen.

Gesprächsanalyse

• Im Fenster „Gespräche“ finden sich Details zu gesendeten/empfangenen Paketen sowie übertragenen Datenmengen.

• Hier können verschiedene Protokolle ausgewählt werden; jede Registerkarte zeigt einzigartige Gespräche an.

Bandbreitenanalyse

• Um herauszufinden, welches Gerät viel Bandbreite verbraucht, kann man die Spalte nach gesendeten Paketen sortieren.

Diese strukturierte Zusammenfassung bietet einen klaren Überblick über wichtige Funktionen von Wireshark zur Analyse von Netzwerkdatenverkehr sowie deren statistische Auswertung.

Filtererstellung und Analyse von Netzwerkverkehr

Erstellung von Filtern

• Um Filter zu erstellen, klicken Sie mit der rechten Maustaste auf die erste Zeile und wählen Sie die Option zur Erstellung eines Ausdrucks. Dies ermöglicht es Ihnen, spezifische Gespräche zwischen Adressen A und B anzuzeigen.

• Diese Funktion hilft Ihnen, sich auf die gewünschten Gespräche zu konzentrieren und Details in einer granularen Form zu sammeln, was bei der Fehlersuche und Überprüfung von Netzwerkinfrastrukturen nützlich ist.

Endpunkte im Netzwerk

• Endpunkte sind Geräte, die Daten im Netzwerk austauschen. Jedes Gerät hat eine MAC-Adresse, die als eindeutige ID fungiert.

• Um das Endpunkt-Diagramm aufzurufen, klicken Sie auf ein beliebiges TCP-Paket in der Paketliste. Die verschiedenen Protokolle werden durch Tabs dargestellt.

Protokollanalyse

• Durch Klicken auf den Tab für IPv4 können Sie sehen, welches Endgerät am meisten kommuniziert.

• Mit einem Rechtsklick auf eine Zeile mit vielen übertragenen Paketen können Sie einen Anzeigefilter für dieses spezifische Endgerät erstellen.

Paketlängen verstehen

• Die Paketlänge gibt an, wie viel Daten in jedem Paket enthalten sind. Dazu gehören sowohl der Payload als auch Metadaten für Routing.

• Das Verständnis der Paketlängen ist wichtig zur Überwachung der Netzwerkleistung und zur Identifizierung potenzieller Sicherheitsbedrohungen.

IO-Grafiken nutzen

• IO-Grafiken bieten einen Überblick über den Netzwerkverkehr zu bestimmten Zeiten. Diese Grafiken zeigen Zeit auf der horizontalen Achse und die Anzahl der Pakete pro Tick auf der vertikalen Achse.

• Mit Filtern können Sie spezifischen Verkehr analysieren; beispielsweise nur UDP-Verkehr anzeigen.

Dienstantwortzeiten messen

• Die Funktion zur Messung der Dienstantwortzeit zeigt an, wie lange verschiedene Dienste benötigen, um zu reagieren.

• Dies kann helfen festzustellen, warum bestimmte Dienste langsam reagieren oder Verzögerungen auftreten.

DHCP und andere Protokolle

• DHCP (Dynamic Host Configuration Protocol)-Statistiken zeigen Informationen darüber an, wie Geräte ihre IP-Adressen erhalten.

• NCP (Access Node Control Protocol), Backnet-Protokolle sowie 29 West werden ebenfalls behandelt; diese sind wichtig für Kommunikationsprotokolle in Netzwerken.

Was ist BACnet und wie wird es in Wireshark analysiert?

Einführung in BACnet

• BACnet ist ein Protokoll für die Gebäudeautomation, das Netzwerkverkehr zwischen Geräten erfasst. Wireshark erkennt diesen Verkehr und zeigt Nachrichten wie Datenanforderungen, Antworten und Alarme an.

• Die Analyse von BACnet-Verkehr in Wireshark bietet Einblicke in die Kommunikation zwischen Geräten, einschließlich Datenaustausch, Reaktionszeiten und Fehlerbehandlung.

DNS und Flow Graph

• Das Domain Name System (DNS) übersetzt Domainnamen wie google.com in IP-Adressen.

• Der Flow Graph ist ein Werkzeug zur Fehlersuche im Netzwerk. Er visualisiert den Datenfluss zwischen zwei Endpunkten und hilft dabei, Engpässe zu identifizieren.

Hard IP Protokoll

• Hard IP steht für Highway Addressable Remote Transducer over IP. Es ermöglicht digitale Kommunikation mit intelligenten Feldgeräten in der Prozessautomatisierung.

• Die Analyse des Hard IP-Verkehrs in Wireshark liefert Informationen über Kommunikationsmuster, Datenlasten und die Gesamtleistung von Geräten im industriellen Umfeld.

HTTP und Sametime

• HTTP (Hypertext Transfer Protocol) wird für die Kommunikation im Web verwendet; HTTP/2 bietet erweiterte Funktionen wie Multiplexing.

• Sametime ist ein Messaging-Protokoll von IBM für Echtzeitkommunikation. In Wireshark zeigt es Netzwerkverkehr an, der mit Nachrichtenübertragungen und Konferenzen verbunden ist.

TCP Stream Graphen

• TCP Stream Graphen sind visuelle Darstellungen des Datenflusses über eine TCP-Verbindung. Sie helfen bei der Analyse von Paketübertragungen.

• Der Zeitfolgengraph zeigt den chronologischen Verlauf gesendeter und empfangener Pakete an. Die X-Achse repräsentiert die Zeit, während die Y-Achse die TCP-Sequenznummer darstellt.

Weitere wichtige Konzepte

• Round Trip Time (RTT) misst die Zeit bis zur Bestätigung eines gesendeten Pakets. Dies gibt Aufschluss über erfolgreiche Übertragungen.

• UDP-Multicast-Ströme ermöglichen es einem Gerät, gleichzeitig Daten an mehrere Geräte zu senden – ähnlich einer Radiosendung.

Multicast-Kommunikation und Netzwerkprotokolle

Multicast-Kommunikation mit UDP

• Multicast-Kommunikation erfolgt über das User Datagram Protocol (UDP), welches eine schnelle und einfache Nachrichtenübertragung zwischen Geräten ermöglicht.

• Mit Wireshark können UDP-Multicast-Streams analysiert werden, um zu sehen, welche Daten gesendet werden, wer sendet und wer empfängt. Dies hilft bei der Fehlersuche von Kommunikationsproblemen.

Zuverlässige Server-Pooling und IP-Protokolle

• Das zuverlässige Server-Pooling ist ein Protokoll zur Einrichtung von Serverpools, die Anfragen zuverlässig bearbeiten können.

• Das IP-Protokoll ist vielseitig und bewältigt effizient Aufgaben wie Nachrichtenumwandlung, Remote Procedure Calls und Service Discovery in dynamischen Client-Server-Setups.

DTN und F5 Load Balancer

• Das Dynamic Trunking Protocol (DTN), entwickelt von Cisco Systems, dient der Aushandlung von Trunking zwischen Switches in einem LAN.

• F5 bezieht sich wahrscheinlich auf Lastenausgleich oder Application Delivery Controller, die den Datenverkehr in großen Netzwerken verwalten.

IPv4 und IPv6 Statistiken

• Die IPv4-Statistiken und IPv6-Statistiken in Wireshark bieten detaillierte Einblicke in den Netzwerkverkehr dieser Protokolle.

• Diese Statistiken helfen Netzwerkadministratoren dabei, Verkehrsverteilungen zu verstehen, potenzielle Engpässe zu identifizieren und die Netzwerkleistung zu optimieren.

TCP 3-Wege-Handschlag verstehen

Grundlagen des TCP 3-Wege-Handschlags

• Der TCP 3-Wege-Handschlag ist entscheidend für die Verbindung zwischen Server und Client; er stellt sicher, dass beide bereit sind für eine Verbindung.

Durchführung des TCP 3-Wege-Handschlags mit Wireshark

• Der Handshake beginnt mit dem Client, der ein SYN-Paket an den Server sendet. Der Server antwortet mit einem SYN/ACK-Paket zur Bestätigung.

• Schließlich bestätigt der Client die Antwort des Servers mit einem ACK-Paket. Nach diesem Prozess wird die TCP-Verbindung hergestellt.

Wireshark-Funktionen zur Analyse

Follow TCP Stream Funktionalität

• Die "Follow TCP Stream"-Funktion in Wireshark ermöglicht es Benutzern, eine Reihe von Protokolldatenpaketen zusammenzuführen und verständlich darzustellen.

Analyse von HTTP-Sitzungen

• Bei HTTP-Sitzungen zeigt diese Funktion GET-Anfragen vom Client sowie entsprechende Antworten vom Server an.

• Bei HTTPS kann aufgrund der Verschlüsselung unverständlicher Text angezeigt werden; dies wird in zukünftigen Videos behandelt.

Speichern von Inhalten aus Wireshark

• Benutzer können Inhalte im Dialogfeld speichern oder bestimmte Streams herausfiltern.

Probleme bei der Kommunikation mit dem Server

Szenario ohne aktiven Server-Dämon

• Wenn der Software-Dämon auf dem Server nicht läuft, kann dieser keine Anfragen verarbeiten oder auf Verbindungsversuche reagieren.

Verbindung und Netzwerkprobleme analysieren

RST-Pakete und Verbindungsversuche

• RST-Pakete informieren den Client, dass die Verbindung nicht hergestellt werden kann, da der Server nicht erreichbar ist.

• Jedes SYN-Paket stellt einen Verbindungsversuch dar, während jedes RST-Paket das Scheitern des Servers signalisiert.

• Moderne Webbrowser versuchen oft mehrere Verbindungen zu einem Server bei nicht reagierenden Sockets, was zu mehreren SYN- und RST-Paketen führt.

Analyse von Netzwerkproblemen mit Wireshark

• Hohe Latenzen können durch Fernkommunikation oder Warteschlangenbildung verursacht werden; die Zeitspalte in Wireshark hilft bei der Identifizierung solcher Probleme.

• Ein Beispiel für ein Sicherheitsproblem ist ein Portscan, bei dem der Firewall RST-Pakete sendet, um Angriffe abzuwehren.

Sicherheit und Anomalien im Netzwerkverkehr

• Bei einem Portscan mit Nmap wurden RST-Pakete gesendet, weil der gescannte Port geschlossen war; dies zeigt potenzielle Sicherheitsbedrohungen auf.

• Wireshark ermöglicht die Analyse von TCP-Verhalten, einschließlich Headern und Sequenznummern zur Erkennung ungewöhnlicher Verkehrsmuster.

Grenzen automatisierter Tools

• Es gibt kein automatisiertes Tool zur vollständigen Erkennung aller Verkehrs-Anomalien; individuelle Anpassung und Wachsamkeit sind entscheidend für die Netzwerksicherheit.

Vertiefung in Protokollanalysen

• Eine umfassende Untersuchung spezifischer Protokolle wie TCP oder UDP kann durch spezielle Video-Tutorials unterstützt werden.

• Interesse an einer detaillierten Analyse von Protokollen mit Wireshark kann durch weitere Tutorials gefördert werden.

UDP-Protokoll verstehen

Eigenschaften des UDP-Protokolls

• UDP ist ein verbindungsloses Protokoll, bekannt für seine Effizienz beim Übertragen von Echtzeitdaten zwischen Hosts.

• Wichtige Protokolle wie DHCP und DNS verlassen sich auf UDP; verlorene Pakete werden nicht erneut übertragen.

Anwendung von UDP in Netzwerken

• Im Gegensatz zu TCP initiiert UDP keine Verbindungen oder Abschlüsse; es wird als transaktionsorientiert betrachtet.

DHCP-Protokollanalyse

• DHCP weist IP-Adressen zu und funktioniert typischerweise über Ports 67 (Server) und 68 (Client).

DHCP-Anforderungsprozess

• Der Paketlängenfeld spezifiziert die Gesamtlänge eines Pakets; z.B. 8 Bytes für den Header lassen 300 Bytes für Anwendungsdaten übrig.

DNS-Verkehrsanalyse mit Wireshark

• Die Analyse des DNS-Verkehrs umfasst das Untersuchen der Pakete während DNS-Abfragen und -Antworten.

Wie man DNS-Pakete mit Wireshark analysiert

Grundlegende Schritte zur Analyse von DNS-Paketen

• Um eine Domain in eine IP-Adresse umzuwandeln, führen Sie eine DNS-Abfrage durch und stoppen die Paketaufzeichnung in Wireshark, indem Sie auf den roten Stop-Button klicken. Wenden Sie einen Filter an, um nur DNS-Pakete im erfassten Datenverkehr anzuzeigen, indem Sie "DNS" in die Anzeige-Filterleiste eingeben und Enter drücken.

• Suchen Sie nach DNS-Abfragepaketen, die typischerweise mit einer Transaktions-ID versehen sind. Diese Pakete zeigen den abgefragten Domainnamen an. Finden Sie die entsprechenden DNS-Antwortpakete zu den Abfragen; diese enthalten Informationen wie die aufgelöste IP-Adresse der angefragten Domain.

Detaillierte Analyse der DNS-Pakete

• Wählen Sie ein DNS-Abfrage- oder Antwortpaket aus und erweitern Sie im Detailbereich das Abschnitt „Domain Name System“, um detaillierte Informationen zu sehen. Analysieren Sie Felder wie Abfragetyp, Abfragename oder Domainname, Antworttyp, TTL (Time to Live) sowie die aufgelöste IP-Adresse oder andere Datensätze.

• Achten Sie auf DNS-Flags wie „Query Response“, „Recursion Desired“, „Recursion Available“ und „Response Code“. Diese Flags geben Einblicke in die DNS-Transaktion und mögliche Probleme während des Prozesses.

Verfolgen von DNS-Gesprächen

• Nutzen Sie die Follow-Funktion von Wireshark, um D-Tranaktionen zu verfolgen. Klicken Sie mit der rechten Maustaste auf ein DNS-Abfragepaket, wählen Sie "Follow" und dann "UDP Stream" oder "DNS". Diese Ansicht hilft bei der Analyse des gesamten Gesprächs zwischen Client und Server.

Abschlussbemerkungen

• Der Vortrag bietet grundlegende Einblicke in Wireshark; es handelt sich jedoch nicht um einen umfassenden Leitfaden. Der Sprecher plant zukünftige Videos über verschiedene Protokolle in Wireshark. Zuschauer werden ermutigt, Kommentare zu hinterlassen und sich für weitere Inhalte über Cyber-Sicherheit und Hacking-Techniken anzumelden.