Miten Wiresharkia käytetään verkonvalvontaan?

• Mikä on Wireshark?
• Mitkä ovat Wiresharkin keskeiset ominaisuudet?
• Miten Wireshark asennetaan tai ladataan?
• Miten datapaketteja kaapataan ja analysoidaan Wiresharkilla?
• Miten kaapattuja verkkopaketteja analysoidaan?
• Miten Wireshark auttaa verkon suorituskyvyn valvonnassa?
• Mikä on suodattimien rooli Wiresharkissa?
• Miten värikoodausta käytetään Wiresharkissa?
• Miten verkkotilastoja tarkastellaan Wiresharkissa?
• Miten verkkopaketteja visualisoidaan IO-kuvaajilla?
• Miten Wireshark-ominaisuuksia laajennetaan?

Hyvän verkon merkitys on kasvanut, kun saavutettavien palvelujen ja sovellusten kysyntä on lisääntynyt, joten hyvästä verkosta on tullut tärkeämpi kuin koskaan ennen. Ongelmat, kuten pakettihäviöt, viiveet, verkon käyttökatkokset, toistuvat virheet ja häiriöt voivat haitata yleistä käyttäjäkokemusta. Verkonvalvonnasta on tullut ratkaiseva ja perustavanlaatuinen vaatimus pienille, keskisuurille ja suurille yrityksille. Sitä pidetään ensimmäisenä puolustuslinjana, kun verkkopalvelimen suorituskyky alkaa heikentyä. Verkonvalvontatyökalut auttavat tiimejä arvioimaan verkkolaitteiden käytettävyyttä, tarkistamaan verkon yleisen kunnon ja korjaamaan suorituskykyongelmia, kuten kaistanleveyden kulutusta/käyttöä ja verkon käyttökatkoksia.

Koska markkinat tulvivat monenlaisten verkonvalvontatyökalujen tulvasta, on haastavaa tehdä päätös luotettavan valvontaratkaisun valitsemisesta. Eri verkonvalvontatyökalujen suorituskyky ja integrointiominaisuudet vaihtelevat. Jotkut tarjoavat täysin integroidun arkkitehtuurin, kun taas toiset sisältävät useita komponentteja, kuten tietokantoja, kyselymoottoreita, hallintakonsoleita ja paljon muuta. Verkonvalvojille voi olla hämmentävää valita paras ratkaisu, jossa on luotettavat ja tehokkaat valvontaominaisuudet. Siksi organisaatioiden on ennen valinnan tekemistä harkittava seuraavien kysymysten esittämistä ylläpitäjille.

• Mitä laitteita on valvottava?
• Onko koko organisaation verkkoa vai useita verkkoja valvottava?
• Miten verkonvalvontatyökalu integroituu olemassa olevaan järjestelmään?
• Minkälaisia ydintoimintoja työkalussa on oltava?

On tehtävä perusteellinen tutkimus, jotta voidaan määrittää, mikä työkalu tarjoaa organisaatiolle pitkällä aikavälillä hyödyllisimmät ominaisuudet. Tämä viesti käsittelee yhtä markkinoiden luotettavimmista verkkoanalysaattoreista, joka tunnetaan nimellä Wireshark. Tarkastellaan, mikä Wireshark on, miten se auttaa tietoturvaongelmien havaitsemisessa, verkkovirheiden vianmäärityksessä, protokollien virheenkorjauksessa ja miten Wiresharkin ominaisuuksia voidaan laajentaa kehittynyttä verkonvalvontaa varten.

Mikä on Wireshark?

Wireshark tunnetaan maailman johtavana verkkoliikenteen analysaattorina. Se on paras työkalu järjestelmänvalvojille ja IT-ammattilaisille verkon virheiden reaaliaikaiseen vianmääritykseen. Wireshark havaitsee nopeasti verkko-ongelmat, kuten viiveen, epäilyttävän toiminnan ja pudotetut paketit. Se voi porautua liikenteeseen ja selvittää ongelman perimmäisen syyn. Tavallisesti verkonvalvojat käyttävät Wiresharkia ratkaistakseen viiveongelmia, jotka johtuvat laitteista, joita käytetään liikenteen reitittämiseen eri puolilla maailmaa, ja seuratakseen yritystoimintaan kohdistuvia tiedonsiirtoyrityksiä. Wireshark on tehokas mutta ilmainen työkalu, joka vaatii laaja-alaista tietämystä verkon perusasioista. Jotta ylläpitäjät voisivat hyödyntää työkalua parhaalla mahdollisella tavalla, heillä on oltava vankka käsitys protokollista, kuten TCP/IP:stä ja DHCP:stä.

Miten se toimii?

Wireshark on suosittu avoimen lähdekoodin työkalu, jolla kaapataan verkkopaketteja ja muunnetaan ne ihmisen luettavaan binäärimuotoon. Se tarjoaa kaikki yksityiskohdat organisaation verkkoinfrastruktuurista. Se koostuu laitteista, jotka on suunniteltu auttamaan verkon sisä- ja ulkopuolisten ominaisuuksien mittaamisessa. Wiresharkilla kerättyjä tietoja voidaan hyödyntää erilaisiin tarkoituksiin, kuten reaaliaikaiseen tai offline-verkkoanalyysiin, verkkoon tulevan liikenteen tunnistamiseen, sen taajuuteen ja sen tiettyjen siirtymien väliseen latenssiin. Tämä auttaa verkon ylläpitäjiä tuottamaan tilastoja reaaliaikaisten tietojen perusteella.

Verkonvalvonnan lisäksi organisaatiot käyttävät Wiresharkia ohjelmien virheenkorjaukseen, tietoturvaongelmien tutkimiseen ja verkkoprotokollien sisäisten ominaisuuksien oppimiseen. Wireshark on suunniteltu suorittamaan tehokkaasti paketteihin liittyviä toimintoja sekä analysoimaan ja näyttämään verkkomittareita hallintakonsolissa.

• Näytä pakettitietoja kaavioina, kaavioina ja muina
• Sieppaa, vie, etsi ja tallenna, ja tuo eläviä datapaketteja
• Raporttien laatiminen reaaliaikaisten tilastotietojen perusteella
• Pakettien suodattaminen prioriteettien perusteella

Wireshark tarjoaa myös loistavan käyttöliittymän, sillä sitä on helppo käyttää, kunhan tiimit perehtyvät pakettien kaappaamisen perusteisiin.

Mitä ovat Wiresharkin keskeiset ominaisuudet?

Wireshark koostuu monipuolisista ominaisuuksista, joihin kuuluvat seuraavat:

• Live-kaappaus ja offline-analyysi
• Rikas VoIP-analyysi
• Lukee/kirjoittaa monia eri kaappaustiedostomuotoja
• Kaappaa pakattuja tiedostoja (gzip) ja purkaa ne lennossa
• Syvällinen tarkastelu sadoille eri protokollille
• Vakiomuotoinen kolmestapakettiselain
• Kapattuja verkkopaketteja voidaan selata graafisen käyttöliittymän tai TShark-apuohjelman avulla
• Monialustainen järjestelmä toimii helposti Linuxissa, Windowsissa, OS X:ssä ja FreeBSD:ssä
• Tehokkaat näyttösuodattimet
• Tulos voidaan viedä XML:ään, CSV:hen, PostScriptiin tai tavallisena tekstinä
• Pakettiluettelossa voidaan käyttää värjäyssääntöjä nopeaan ja intuitiiviseen analyysiin

Miten Wireshark asennetaan tai ladataan?

Miten datapaketteja kaapataan ja analysoidaan Wiresharkilla?

Yksi Wiresharkin tärkeimmistä toiminnoista on datapakettien kaappaaminen yksityiskohtaisen verkkoanalyysin suorittamista varten. Se voi kuitenkin olla hankalaa aloittelijoille, jotka eivät tunne siihen liittyviä vaiheita. Tärkeimpiä tärkeitä vaiheita on kolme:

• Hanki itsellesi järjestelmänvalvojan oikeudet, jotta voit aloittaa reaaliaikaisen datan kaappaamisen suoraan laitteesta
• Valitse oikea verkkoliitäntä pakettidatan kaappaamista varten
• Valitse oikea sijainti verkossa pakettidatan kaappaamista varten

Olennempien vaiheiden noudattamisen jälkeen Wireshark on valmis kaappaamaan tietopaketteja. Yleensä kaappaustiloja on kaksi: promiscuous ja monitor. Promiscuous-tila asettaa verkkoliitännän kaappaamaan vain ne paketit, joita varten se on määritetty. Monitor-tilaa käytetään Unix/Linux-järjestelmissä, ja se asettaa langattoman liitännän kaappaamaan mahdollisimman suuren osan verkosta. Paketteja kaapattaessa kerätyt tiedot näytetään ihmiselle luettavassa muodossa, joten ne ovat helpommin hahmotettavissa. Kun Wireshark hajottaa kaapatut paketit luettavaan muotoon, käyttäjät voivat suorittaa erilaisia muita tehtäviä, kuten valita suodattimia tarkkojen tietojen löytämiseksi ja värikoodata tärkeät tiedot. Wiresharkilla järjestelmänvalvojat voivat myös valvoa useita verkkoja samanaikaisesti.

Järjestelmänvalvojat käyttävät tavallisesti promiscuous-tilaa saadakseen lintuperspektiivistä kuvan verkkopakettien siirrosta. Kun tämä tila poistetaan käytöstä, verkosta saadaan vain pieni tilannekuva, joka ei riitä laatuanalyysin tekemiseen. Promiscuous-tila voidaan ottaa helposti käyttöön napsauttamalla valintaikkunassa olevia kaappausvaihtoehtoja. Promiscuous-tila ei kuitenkaan ole käytettävissä kaikissa ohjelmistoissa tai käyttöjärjestelmissä. Siksi käyttäjien on vahvistettava ristiin ohjelmistojen yhteensopivuus joko vierailemalla Wiresharkin verkkosivustolla tai tarkistamalla asetukset laitehallinnan avulla (jos olet Windows-käyttäjä).

Miten kaapattuja verkkopaketteja analysoidaan?

Kun verkkotiedot on kaapattu, verkkopakettien luettelo näytetään keskitetyssä hallintakonsolissa tai kojelaudassa. Näyttö koostuu kolmesta paneelista: pakettiluettelo, pakettien tavut ja pakettien tiedot. Saadakseen tärkeitä tietoja yksittäisistä paketeista käyttäjien on kuitenkin napsautettava mitä tahansa edellä mainituista paneeleista.

Pakettiluettelo

Pakettiluettelo-ruutu koostuu selattavista kaapatuista verkkopaketeista aikaleiman perusteella, joka näyttää tarkalleen, milloin paketti kaapattiin, paketin protokollan nimen, paketin lähteen ja määränpään sekä tukitiedot.

Pakettitiedot

Pakettitiedot-ruudussa näytetään tietoja valitusta paketista. Käyttäjät voivat laajentaa kutakin osiota ja soveltaa suodattimia saadakseen tietoja tietyistä kohteista.

Paketin tavut

Paketin tavut -ruutu koostuu käyttäjän valitseman paketin sisäisistä tiedoista. Tiedot näytetään oletusarvoisesti heksadesimaalimuodossa.

Miten Wireshark auttaa verkon suorituskyvyn seurannassa?

Kun verkkopaketit on kaapattu, seuraava vaihe on seurata ja analysoida niitä. Wireshark on erinomainen työkalu organisaation aktiivisen verkon analysointiin ja seurantaan. Ennen tätä on tärkeää sulkea kaikki verkon aktiiviset sovellukset liikenteen vähentämiseksi, mikä auttaa antamaan selkeän kuvan verkosta. Kaikkien sovellusten sammuttaminen ei johda pakettien häviämiseen; itse asiassa pakettien lähettäminen ja vastaanottaminen on edelleen jatkuva prosessi.

Vaikka valtavan tietomäärän käsitteellistäminen kokonaisuudessaan ei ole helpompaa. Siksi Wireshark pilkkoo nämä komponentit eri muotoihin, jotta voidaan nähdä, mitä verkossa tapahtuu. Auttaakseen käyttäjiä ymmärtämään ja analysoimaan nopeasti saapuvaa dataa Wireshark käyttää värikoodausta, suodattimia ja verkkotilastoja verkkodatan erotteluun.

Mikä on suodattimien rooli Wiresharkissa?

Suodattimista on hyötyä, kun analysoidaan suuria tiedostoja ja huomattavaa datamäärää. Suodattimet auttavat ylläpitäjiä löytämään tiettyjä verkkotietoja tuhansista paketeista, jotka kulkevat verkon läpi joka sekunti. Wireshark käyttää kahta yleisintä suodatintyyppiä: Capture (kaappaus) ja Display (näyttö), joiden avulla tiedot voidaan erottaa toisistaan niiden merkityksellisyyden perusteella. Capture-suodatin kerää live-valvontatiedot pienentämällä saapuvien pakettien kokoa. Tämä auttaa suodattamaan epäolennaiset paketit pois suoran kaappauksen aikana. Kaappaussuodattimet asetetaan kuitenkin ennen suodatusprosessin aloittamista, eikä niitä voi muuttaa prosessin aloittamisen jälkeen. Näyttösuodattimia taas käytetään jo tallennettujen tietojen suodattamiseen.

Miten Wiresharkissa käytetään värikoodausta?

Värikoodauksella korostetaan eri paketteja tiettyjen tekijöiden perusteella. Tämä auttaa käyttäjiä tunnistamaan paketteja värien perusteella. Esimerkiksi UDP merkitään vaaleansinisellä, ICMP vaaleanpunaisella, TCP-liikenne vaalean violetilla ja virheitä sisältävät paketit korostetaan mustalla. Wiresharkin oletusasetuksissa käytetään kahtakymmentä eri väriä eri parametrien merkitsemiseen. Käyttäjät voivat muuttaa, muokata, lisätä tai poistaa asetuksia tarpeen mukaan. Väritys voidaan myös poistaa käytöstä kytkemällä Colorize Packet List (Pakettiluettelon väritys) -kenttä pois päältä.

How to View Network Statistics on Wireshark?

Tilastotiedot ovat hyödyllisiä, kun halutaan saada syvällistä tietoa verkosta. Voit tarkastella näitä tilastoja napsauttamalla Tilastot-pudotusvalikkoa, joka tarjoaa metriikoita ajoituksesta ja koosta kaavioiden ja kaavioiden piirtämiseen. Käyttäjät voivat myös soveltaa näyttösuodatinta kaventaakseen vaihtoehtojen luetteloa ja löytääkseen olennaiset tiedot. Pudotusvalikosta avattavassa tilastovalikossa näkyvät seuraavat mittarit:

• Keskustelut: Näyttää kahden päätepisteen keskustelut, kuten kaksi eri IP-osoitetta
• Päätepisteet: Näyttää päätepisteiden luettelon
• IO Graphs: Näyttää kaikki kuvaajat
• Protokollahierarkia: Näyttää kaapattujen pakettien taulukon
• RTP_statistics: Auttaa käyttäjiä tallentamaan RTP-äänivirran sisällön Au-tiedostoon
• Multicast Stream: Mittaa muiden komponenttien nopeutta tunnistamalla monilähetysvirrat
• TcpPduTime: Aika, joka kuluu tietojen lähettämiseen dataprotokollayksiköstä
• VoIP_Calls: Suorakaappauksista vastaanotettujen VolP-puhelujen määrä
• Service Response Time: Aika, joka verkolta kuluu pyyntöön vastaamiseen

Miten visualisoida verkkopaketteja IO-kuvaajilla?

Datapaketit tai verkkoliikenne voidaan esittää visuaalisessa muodossa, joka tunnetaan nimellä IO-kuvaajat. Käyttäjät voivat tarkastella IO-kuvaajia napsauttamalla Tilastot-valikkoa ja valitsemalla IP-kuvaaja-välilehden. Kun kuvaajaikkuna avautuu, käyttäjät voivat tarkastella haluamiaan tietoja määrittämällä kuvaaja-asetukset vastaavasti. Wiresharkin oletusasetuksista johtuen vain yksi kuvaaja näytetään kerrallaan. Jos käyttäjät haluavat aktivoida useampia kuvaajia samanaikaisesti, ota ne yksinkertaisesti käyttöön. Lisäksi käyttäjät voivat myös mukauttaa kuvaajia suodattimien ja värikoodien avulla löytääkseen tarkoituksen kannalta olennaiset tiedot. Käyttäjät voivat myös muokata kuvaajan rakennetta tyyli-sarakkeesta ja valita minkä tahansa niistä: Line, Dot, Impulse, Fbar. Käyttäjät voivat paitsi säätää kuvaajien tyyliä myös olla vuorovaikutuksessa kuvaajien X- ja Y-akselin metriikoiden kanssa. Kun asetukset on tehty, kuvaajat voidaan tallentaa tiedostomuotoon tulevia tarkoituksia varten.

Miten Wireshark-ominaisuuksia voidaan laajentaa?

Epäilemättä Wireshark on loistava pakettien haistelija, mutta siitä puuttuu muutamia edistysaskeleita verkonvalvonnan kasvavien tarpeiden täyttämiseksi. Wiresharkin seurantaominaisuuksia voidaan parantaa käyttämällä täydentäviä työkaluja, kuten SolarWinds® Response Time Viewer for Wireshark, Show Traffic, Cloudshark ja NetworkMiner. Alla on esitelty näiden työkalujen ominaisuuksia, ominaisuuksia ja toimintoja sekä sitä, miten ne auttavat parantamaan Wiresharkin verkonvalvontaominaisuuksia.

SolarWinds Network Performance Monitor

SolarWinds Network Performance Monitor (NPM) on tehokas verkonvalvontaohjelmisto, jota käytetään verkko-ongelmien ja -vikaantumisten havaitsemiseen, diagnosoimiseen ja ratkaisemiseen. Työkalu on suunniteltu erityisesti toimitiloissa, hybridi- ja pilvipalveluissa tapahtuvaan edistyneeseen verkon vianmääritykseen, ja se havaitsee ongelmat hop-by-hop-analyysin avulla. Se auttaa paitsi tekemään verkosta skaalautuvan myös turvallisen. NPM pystyy myös vähentämään käyttökatkoksia, mikä parantaa toiminnan tehokkuutta, verkon saatavuutta ja suorituskykyisiä sovelluksia. Se tarjoaa valmiita ominaisuuksia, kuten intuitiivisia kojelautoja, kehittyneitä hälytysjärjestelmiä, mukautettua raportointia, pakettianalyysiä ja paljon muuta. Hop-by-hop-analyysin lisäksi NPM tarjoaa käytettävyyden seurantaa, pinojen välisten verkkotietojen korrelaatiota, muokattavaa topologiaa, verkon löytämistä, kartoitusominaisuuksia, pakettien kaappausanalyysiä, raahaa ja löydä verkon suorituskykykaavioita, tilastollisia verkon suorituskyvyn peruslinjoja ja laitteiston kunnonvalvontaa. NPM:n avulla alueet, joilla on heikkoja signaaleja tai verkon kuolleita alueita, voidaan tunnistaa nopeasti Wi-Fi-lämpökarttojen avulla. Kokeile sitä ilmaisella, täysin toimivalla kokeiluversiolla.

SolarWinds Response Time Viewer for Wireshark

SolarWinds Response Time Viewer for Wireshark -ohjelman avulla käyttäjät voivat havaita ja analysoida Wiresharkin pakettikaappauksia ja korjata verkon suorituskykykatkoksia reaaliaikaisesti. Se pystyy suorittamaan useita tehtäviä, kuten tunnistamaan yli 1200 sovellusta, laskemaan niiden verkon vasteajan, näyttämään tietoja ja tapahtuma-arvoa, kriittisen polun visualisointia Netpathin avulla sekä langattoman verkon valvontaa ja hallintaa. Näiden parametrien arviointi auttaa käyttäjiä määrittämään verkon puutteet ja viat.

Cloudshark

Cloudshark on alusta, joka on suunniteltu näyttämään verkkokaappaustiedostot suoraan selaimessa ilman työpöytäsovelluksia tai työkaluja. Lataa, lähetä sähköpostitse tai linkitä kaappaustiedostot ja saat tulokset näkyviin. Se auttaa ratkaisemaan verkko-ongelmat nopeammin ja virheettömästi. Lisäksi se sisältää ominaisuuksia, kuten vedä ja pudota kaappaustiedostot, pudotuslaatikkomaisen toiminnan, mahdollistaa linkkien jakamisen työtovereiden kanssa ja tarjoaa kehittynyttä analyysia.

Sysdig

Sysdig on tehokas, alustarajat ylittävä ja avoimen lähdekoodin joustava verkonseurantajärjestelmä, joka on suunniteltu erityisesti Linuxille. Se toimii myös Windowsissa ja Mac OSX:ssä, mutta rajoitetuilla toiminnoilla, kuten tarkastuksella, virheenkorjauksella ja järjestelmäanalyysillä. Sysdig käyttää erilaisia Linux-järjestelmän suorituskyvyn seuranta- ja vianmääritystyökaluja, kuten esim:

• Strace (järjestelmäkutsujen löytämiseen)
• htop (reaaliaikaiseen prosessien seurantaan)
• iftop (reaaliaikaiseen-kaistanleveyden reaaliaikaiseen seurantaan)
• netstat (verkkoyhteyksien seurantaan)
• tcpdump (raa’an verkkoliikenteen seurantaan)
• Isof (avattujen tiedostojen tarkasteluun käytetyn prosessin tuntemiseen)

Sysdig integroi kaikki edellä mainitut työkalut ja tarjoaa ne yhdessä ohjelmassa. Käyttäjät voivat helposti kaapata, suodattaa, tallentaa, muokata, seurata ja tutkia verkkoliikennettä ja Linux-järjestelmien todellista käyttäytymistä. Sysdigin ominaisuuksia ovat mm:

• Orchestrator-integraatiot
• Intuitiiviset kojelaudat
• Pilvipohjaiset-platform integraatiot
• Sovellusintegraatiot
• Hälytys- ja tapahtumahallinta
• Haavoittuvuuksien hallinta
• Soveltuvuus-/auditointiraporttien tuottaminen
• Topologiakartat
• Laajuusvirheiden havainnointi
• Tiedostojen kaappaus
• Kertaalleen kirjautuvaon

Debooke

Debooke on yksi yksinkertaisimmista ja tehokkaimmista verkonvalvonta- ja liikenteen analysointityökaluista macOS:lle. Työkalun avulla käyttäjät voivat siepata ja seurata minkä tahansa samassa aliverkossa olevan laitteen verkkoliikennettä. Se auttaa kaappaamaan tietoverkon pakettidataa mistä tahansa laitteesta, kuten matkapuhelimesta, tulostimesta, Macista, televisiosta ja muista laitteista ilman välityspalvelinta. Debooken ominaisuudet:

• Seuraa Wi-Fi-kaistanleveyden käyttöä ja kulutusta
• Apua verkon valvontaan ja syvälliseen analyysiin
• Näytä Wi-Fi-asiakkaat ja API:t, joihin ne on liitetty
• Scan IP, LAN, jotta voit seurata kaikkia aktiivisia ja liitettyjä laitteita

Loppuajatuksia

Wireshark on yksinkertainen, mutta monipuolinen ja tehokas verkonvalvontatyökalu. Sitä on helppo käyttää ja oppia. Seurannan lisäksi Wireshark tarjoaa muita verkkoanalyysiominaisuuksia, kuten:

• IO-kaaviot, jotka auttavat käyttäjiä ymmärtämään verkkoa visuaalisesti
• Värikoodaus eri parametrien tai verkkotietojen korostamiseksi myöhempää käyttöä varten
• Suodattimet, joiden avulla voidaan saada tarkoituksen kannalta olennaiset tiedot

Uusien käyttäjien, jotka ovat halukkaita kokeilemaan Wiresharkia, kannattaa kuitenkin tehdä lisätutkimuksia ja hankkia yksityiskohtaista tietoa Wiresharkista vierailemalla verkkosivulla. Olemassa olevat käyttäjät, jotka etsivät edistyneempiä verkonvalvonta- ja analyysiominaisuuksia ja haluavat luoda omia protokollanpaljastimia, voivat kokeilla käyttää edellä korostettuja ulkoisia liitännäisiä ja tukiohjelmia.

SolarWinds Network Performance Monitor ja Response Time Viewer for Wireshark ovat ammattimaisia työkaluja, ja ne toimivat hämmästyttävän hyvin. Ne voivat paitsi tunnistaa ja korjata verkko-ongelmia reaaliajassa, myös suorittaa useita tehtäviä samanaikaisesti, kuten näyttää olennaisia tietoja, laskea verkon vasteaikaa ja paljon muuta. Nämä työkalut lisäävät verkkoanalyysin syvyyttä huomattavasti.