Hogyan használjuk a Wiresharkot hálózatfelügyeletre?

• Mi a Wireshark?
• Melyek a Wireshark fő jellemzői?
• Hogyan kell telepíteni vagy letölteni a Wiresharkot?
• Hogyan rögzítse és elemezze az adatcsomagokat a Wireshark segítségével?
• Hogyan elemezze a rögzített hálózati csomagokat?
• Hogyan segít a Wireshark a hálózati teljesítmény monitorozásában?
• Mi a szűrők szerepe a Wiresharkban?
• Hogyan használjuk a színkódolást a Wiresharkban?
• Hogyan nézzük meg a hálózati statisztikákat a Wiresharkban?
• Hogyan vizualizáljuk a hálózati csomagokat IO grafikonokkal?
• Hogyan bővíthetjük a Wireshark képességeit?

Az elérhető szolgáltatások és alkalmazások iránti igény növekedésével a jó hálózat fontosabbá vált, mint valaha. Az olyan problémák, mint a csomagvesztés, a késleltetés, a hálózati leállások, a gyakori hibák és a rázkódások akadályozhatják az általános felhasználói élményt. A hálózatfelügyelet kulcsfontosságú és alapvető követelménnyé vált a kis-, közép- és nagyvállalatok számára. Ez tekinthető az első védelmi vonalnak, amikor a hálózati kiszolgáló teljesítménye romlani kezd. A hálózati felügyeleti eszközök segítenek a csapatoknak a hálózati eszközök rendelkezésre állásának értékelésében, a hálózat általános állapotának ellenőrzésében, valamint az olyan teljesítményproblémák elhárításában, mint a sávszélesség-fogyasztás/kihasználás és a hálózati leállások.

Mivel a piacot elárasztja a hálózati felügyeleti eszközök széles választéka, kihívássá válik a megbízható felügyeleti megoldás kiválasztása. A különböző hálózatfelügyeleti eszközök különböző mértékű teljesítményt és integrációs képességeket kínálnak. Egyesek teljesen integrált architektúrát kínálnak, míg mások több komponenst tartalmaznak, például adatbázisokat, lekérdezőmotorokat, kezelési konzolokat stb. A hálózati rendszergazdák számára zavarba ejtő lehet a megbízható és hatékony felügyeleti funkciókkal rendelkező legjobb megoldás kiválasztása. Ezért a választás előtt a szervezeteknek fontolóra kell venniük, hogy a következő kérdéseket tegyék fel a rendszergazdáknak:

• Mely eszközöket kell felügyelni?
• A szervezet teljes hálózatát vagy több hálózatot kell felügyelni?
• Hogyan integrálódik a hálózatfelügyeleti eszköz a meglévő rendszerbe?
• Milyen alapvető funkciókkal kell rendelkeznie az eszköznek?

Mélyreható kutatást kell végezni annak meghatározásához, hogy melyik eszköz kínálja hosszú távon a legelőnyösebb funkciókat a szervezet számára. Ez a bejegyzés a piacon elérhető egyik legmegbízhatóbb hálózatelemző eszközzel, a Wiresharkkal foglalkozik. Nézzük meg, mi is a Wireshark, hogyan segít a biztonsági problémák felderítésében, a hálózati hibák elhárításában, a protokollok hibakeresésében, és hogyan bővíthetők a Wireshark képességei a fejlett hálózati felügyelet érdekében.

Mi a Wireshark?

A Wireshark a világ vezető hálózati forgalomelemzőjeként ismert. A rendszergazdák és informatikai szakemberek számára a legjobb eszköz a hálózati hibák valós idejű hibaelhárításához. A Wireshark gyorsan észleli az olyan hálózati problémákat, mint a késleltetés, a gyanús tevékenység és az elejtett csomagok. Képes a forgalom mélyére hatolni, és kideríteni a probléma kiváltó okát. Általában a hálózati rendszergazdák a Wiresharkot a forgalom világméretű továbbítására használt berendezések által okozott késleltetési problémák megoldására és az üzleti műveletek elleni adatszivárgási kísérletek nyomon követésére használják. A Wireshark egy nagy teljesítményű, mégis ingyenes eszköz, amely a hálózati alapismeretek alapos ismeretét igényli. Az eszköz legjobb kihasználásához a rendszergazdáknak alapos ismeretekkel kell rendelkezniük az olyan protokollokról, mint a TCP/IP és a DHCP.

Hogyan működik?

A Wireshark egy népszerű nyílt forráskódú eszköz a hálózati csomagok rögzítésére és ember által olvasható bináris formátumba való átalakítására. A szervezet hálózati infrastruktúrájának minden egyes részletét biztosítja. Olyan eszközökből áll, amelyeket arra terveztek, hogy segítsenek a hálózat belsejének mérésében. A Wireshark segítségével gyűjtött információk különböző célokra használhatók fel, például valós idejű vagy offline hálózati elemzésre, a hálózatba érkező forgalom azonosítására, annak gyakoriságára és az egyes ugrások közötti késleltetésére. Ez segít a hálózati rendszergazdáknak statisztikákat készíteni a valós idejű adatok alapján.

A hálózati felügyelet mellett a szervezetek a Wiresharkot programok hibakeresésére, biztonsági problémák vizsgálatára és a hálózati protokollok belső tulajdonságainak megismerésére is használják. A Wiresharkot úgy tervezték, hogy hatékonyan végezzen csomagokkal kapcsolatos funkciókat, valamint elemezze és megjelenítse a hálózati mérőszámokat a kezelési konzolon keresztül.

• A csomaginformációk megjelenítése grafikonok, diagramok stb. formájában
• Felvétel, exportálás, keresés, mentés, és importáljon élő adatcsomagokat
• Készítsen jelentéseket a valós idejű statisztikai adatok alapján
• Szűrje a csomagokat a prioritás alapján

A WireShark remek felhasználói felületet is kínál, mivel könnyen használható, amint a csapatok megismerkednek a csomagok rögzítésének alapjaival.

Melyek a Wireshark alapvető jellemzői?

A Wireshark gazdag funkciókészletből áll, amely a következőket tartalmazza:

• Live rögzítés és offline elemzés
• Gazdag VoIP-elemzés
• Sokféle rögzítési fájlformátum olvasása/írása
• Tömörített fájlok (gzip) rögzítése és menet közbeni dekompressziója
• Protokollok százainak mélyreható vizsgálata
• Szabványos három-.csomagböngésző
• A rögzített hálózati csomagok böngészhetők GUI-n vagy a TShark segédprogramon keresztül
• Multiplatformos, Linuxon könnyen futtatható, Windows, OS X és FreeBSD
• Lehetséges megjelenítési szűrők
• A kimenet exportálható XML, CSV, PostScript vagy sima szöveg formájában
• A csomaglista színezési szabályokat használhat a gyors és intuitív elemzéshez

Hogyan telepíthető vagy tölthető le a Wireshark?

Hogyan lehet adatcsomagokat rögzíteni és elemezni a Wireshark segítségével?

A Wireshark egyik fő funkciója az adatcsomagok rögzítése a részletes hálózati elemzés elvégzéséhez. Ez azonban trükkös lehet a kezdők számára, akik nem ismerik az ezzel kapcsolatos lépéseket. Elsősorban három fontos lépés van:

• A rendszergazdai jogosultságok megszerzése a valós idejű adatok rögzítésének megkezdéséhez közvetlenül az eszközön
• A megfelelő hálózati interfész kiválasztása a csomagadatok rögzítéséhez
• A megfelelő hely kiválasztása a hálózaton belül a csomagadatok rögzítéséhez

A fenti lépések követése után a Wireshark készen áll a csomagok rögzítésére. Általában kétféle rögzítési mód létezik: a promiscuous és a monitor. A promiscuous mód úgy állítja be a hálózati interfészt, hogy csak azokat a csomagokat rögzítse, amelyekhez ki van jelölve. A monitor üzemmódot a Unix/Linux rendszerek használják, és a vezeték nélküli interfészt úgy állítja be, hogy a hálózat minél nagyobb részét rögzítse. A csomagok rögzítése során összegyűjtött adatok ember által olvasható formátumban jelennek meg, így könnyebben áttekinthetők. Mivel a Wireshark olvasható formátumra bontja a rögzített csomagokat, a felhasználók különböző egyéb feladatokat is elvégezhetnek, például szűrőket választhatnak a pontos információk megtalálásához, és színkóddal jelölhetik a fontos információkat. A Wiresharkkal a rendszergazdák egyszerre több hálózatot is figyelemmel kísérhetnek.

A rendszergazdák általában a promiscuous módot használják, hogy madártávlatból láthassák a hálózati csomagok átvitelét. Ennek az üzemmódnak a kikapcsolásakor a hálózatról csak egy kis pillanatképet kapunk, ami nem elegendő a minőségi elemzés elvégzéséhez. A promiscuous mód könnyen aktiválható a párbeszédpanelen megadott rögzítési lehetőségekre kattintva. A promiscuous mód azonban nem minden szoftveren vagy operációs rendszeren érhető el. Ezért a felhasználóknak a szoftverek kompatibilitását vagy a Wireshark weboldalának meglátogatásával, vagy a beállítások ellenőrzéséhez az Eszközkezelő használatával (Windows-felhasználó esetén) kell keresztellenőrzést végezniük.

Hogyan elemezhetők a rögzített hálózati csomagok?

A hálózati adatok rögzítése után a hálózati csomagok listája megjelenik a központi kezelési konzolon vagy a műszerfalon. A képernyő három ablaktáblából áll: csomaglista, csomagbájtok és csomagrészletek. Az egyes csomagokra vonatkozó fontos információk megszerzéséhez azonban a felhasználóknak a fent említett panelek bármelyikére kell kattintaniuk.

Pakettlista

A csomaglista ablaktábla az időbélyegző alapján böngészhető, rögzített hálózati csomagokból áll, amelyeken pontosan látható a csomag rögzítésének időpontja, a csomag protokollneve, a csomag forrása és célállomása, valamint a támogatási információk.

Pakett részletek

A csomag részletei ablaktábla a kiválasztott csomagról nyújt információkat. A felhasználók kibővíthetik az egyes szakaszokat, és szűrőket alkalmazhatnak, hogy információkat kapjanak bizonyos elemekről.

Pakett bájtjai

A csomag bájtjai ablaktábla a felhasználó által kiválasztott csomag belső adataiból áll. Az adatok alapértelmezés szerint hexadecimális formátumban jelennek meg.

Hogyan segít a Wireshark a hálózati teljesítmény megfigyelésében?

A hálózati csomagok rögzítése után a következő lépés azok megfigyelése és elemzése. A Wireshark egy nagyszerű eszköz a szervezet aktív hálózatának elemzésére és felügyeletére. Ezt megelőzően fontos, hogy a hálózaton lévő összes aktív alkalmazást le kell zárni a forgalom csökkentése érdekében, ami segít abban, hogy tiszta képet kapjunk a hálózatról. Az összes alkalmazás kikapcsolása nem fog csomagvesztést eredményezni, sőt, a csomagok küldése és fogadása továbbra is folyamatos folyamat.

A hatalmas adatmennyiség összességében való elképzelése azonban nem egyszerűbb. Ezért a Wireshark ezeket az összetevőket különböző formákra bontja, hogy lássa, mi történik a hálózaton belül. Annak érdekében, hogy a felhasználók gyorsan megértsék és elemezzék a beérkező adatokat, a Wireshark színkódolást, szűrőket, hálózati statisztikákat használ a hálózati adatok elkülönítésére.

Mi a szűrők szerepe a Wiresharkban?

A szűrők előnyösek a nagy fájlok és jelentős mennyiségű adat elemzésekor. A szűrők segítenek a rendszergazdáknak abban, hogy a hálózaton másodpercenként áthaladó több ezer csomagból konkrét hálózati adatokat találjanak. A Wireshark a szűrők két leggyakoribb típusát használja: Capture és Display, hogy az adatokat relevanciájuk alapján elkülönítse. A capture szűrő a bejövő csomagok méretének csökkentésével gyűjti össze az élő megfigyelési adatokat. Ez segít a nem lényeges csomagok kiszűrésében az élő rögzítés során. A rögzítési szűrők azonban a szűrési folyamat megkezdése előtt kerülnek beállításra, és a folyamat megkezdése után nem módosíthatók. A megjelenítési szűrők viszont a már rögzített adatok szűrésére szolgálnak.

Hogyan használjuk a színkódolást a Wiresharkban?

A színkódolás a különböző csomagok bizonyos tényezők alapján történő kiemelésére szolgál. Ez segít a felhasználóknak a csomagok azonosításában a színek alapján. Például az UDP-t világoskékkel, az ICMP-t világos rózsaszínnel, a TCP-forgalmat világos lilával, a hibás csomagokat pedig feketével jelöljük. A Wireshark alapértelmezett beállításai húsz különböző színt használnak a különböző paraméterek jelölésére. A felhasználók igényeik szerint módosíthatják, szerkeszthetik, hozzáadhatják vagy törölhetik a beállításokat. A színezés kikapcsolható a Csomaglista színezése mező kikapcsolásával is.

Hogyan tekinthetők meg a hálózati statisztikák a Wiresharkban?

A statisztikai adatok hasznosak a hálózatról szóló részletes információk szolgáltatásában. E statisztikák megtekintéséhez kattintson a statisztikák legördülő menüjére, amely az időzítéstől és a mérettől kezdve a grafikonok és diagramok ábrázolásáig számos mérőszámot biztosít. A felhasználók megjelenítési szűrőt is alkalmazhatnak, hogy leszűkítsék a lehetőségek listáját, és megtalálják a releváns információkat. A legördülő statisztika menü a következő mérőszámokat jeleníti meg:

• Beszélgetések: Két végpont beszélgetéseinek megjelenítése, mint két különböző IP-cím
• Végpontok: Megjeleníti a végpontok listáját
• IO grafikonok: Megjeleníti az összes grafikont
• Protokollhierarchia: Megjeleníti a rögzített csomagok táblázatát
• RTP_statistics: Segíti a felhasználókat az RTP hangfolyam tartalmának Au-fájlba mentésében
• Multicast Stream: A többi komponens sebességének mérése a multicast streamek azonosításával
• TcpPduTime: A Data Protocol Unit adatátvitelének ideje
• VoIP_Calls: Az élő felvételekből kapott VolP-hívások száma
• Service Response Time: Az az idő, amely alatt a hálózat válaszol egy kérésre

How to Visualize Network Packets Wfith IO Graphs?

Az adatcsomagok vagy a hálózati forgalom vizuális formában, IO grafikonok néven ábrázolható. A felhasználók az IO grafikonokat a statisztikák menüpontra kattintva és az IP grafikon fül kiválasztásával tekinthetik meg. A grafikonablak megnyitása után a felhasználók a grafikonbeállítások megfelelő konfigurálásával megtekinthetik a kívánt adatokat. A Wireshark alapértelmezett beállításai miatt egyszerre csak egy grafikon jelenik meg. Ha a felhasználók egyszerre több grafikont szeretnének aktiválni, egyszerűen engedélyezze őket. Ezenkívül a felhasználók szűrők és színkódok segítségével testre szabhatják a grafikonokat, hogy megtalálják a céljuk szempontjából releváns információkat. A felhasználók a grafikon szerkezetét is módosíthatják a stílus oszlopból, és bármelyiket kiválaszthatják: Vonal, pont, impulzus, Fbar. A felhasználók nemcsak a grafikonok stílusát állíthatják be, hanem a grafikonok X és Y tengelyű metrikáival is interakcióba léphetnek. A beállítások elvégzése után a grafikonok fájlformátumban tárolhatók későbbi célokra.

Hogyan bővíthetjük a Wireshark képességeit?

Kétségtelen, hogy a Wireshark egy nagyszerű csomagszippantó, de hiányzik belőle néhány fejlesztés, amikor a hálózatfelügyelet növekvő igényeinek kielégítésére kerül sor. A Wireshark felügyeleti képességei olyan kiegészítő eszközökkel fejleszthetők, mint a SolarWinds® Response Time Viewer for Wireshark, Show Traffic, Cloudshark és NetworkMiner. Az alábbiakban ismertetjük ezen eszközök jellemzőit, képességeit, funkcióit, valamint azt, hogy hogyan segítik a Wireshark hálózati felügyeleti képességeinek bővítését.

SolarWinds Network Performance Monitor

A SolarWinds Network Performance Monitor (NPM) egy hatékony hálózati felügyeleti szoftver, amely a hálózati problémák és kiesések észlelésére, diagnosztizálására és megoldására szolgál. Az eszközt kifejezetten a helyhez kötött, hibrid és felhőszolgáltatások fejlett hálózati hibaelhárítására tervezték, és hop-by-hop elemzésével észleli a problémákat. Nemcsak a hálózat skálázhatóságát, hanem biztonságát is segíti. Az NPM emellett képes csökkenteni az állásidőt, ami jobb működési hatékonyságot, hálózati rendelkezésre állást és nagy teljesítményű alkalmazásokat eredményez. Kész funkciókat kínál, többek között intuitív műszerfalakat, fejlett riasztási rendszereket, egyéni jelentéseket, csomagelemzést és még sok mást. A hop-by-hop elemzés mellett az NPM rendelkezésre állásfigyelést, stackek közötti hálózati adatok korrelációját, testreszabható topológiát, hálózati felfedezést, feltérképezési képességeket, csomagfelvételi elemzést, drag-and-discover hálózati teljesítménydiagramokat, statisztikai hálózati teljesítmény alapvonalakat és hardver állapotfigyelést kínál. Az NPM segítségével a gyenge jelekkel vagy hálózati holtzónákkal rendelkező területek gyorsan azonosíthatók a Wi-Fi hőtérképek segítségével. Próbálja ki egy ingyenes, teljes funkcionalitású próbaverzióval.

SolarWinds Response Time Viewer for Wireshark

A SolarWinds Response Time Viewer for Wireshark lehetővé teszi a felhasználók számára a Wireshark csomagfelvételek észlelését és elemzését, valamint a hálózati teljesítménykiesések valós idejű hibaelhárítását. Több feladatot is képes elvégezni, például több mint 1200 alkalmazás azonosítását, a hálózati válaszidejük kiszámítását, az adatok és a tranzakciók értékének megjelenítését, a kritikus útvonal vizualizálását a Netpath segítségével, valamint a vezeték nélküli hálózatok felügyeletét és kezelését. Ezeknek a paramétereknek az értékelése segít a felhasználóknak a hálózati hibák és hibák meghatározásában.

Cloudshark

A Cloudshark egy olyan platform, amelyet a hálózati rögzítési fájlok megjelenítésére terveztek, közvetlenül a böngészőben, asztali alkalmazások vagy eszközök nélkül. Egyszerűen töltse fel, küldje el e-mailben vagy kapcsolja össze a rögzítési fájlokat, és máris megkapja az eredményeket. Segít gyorsabban és hibátlanul megoldani a hálózati problémákat. Emellett olyan funkciókat tartalmaz, mint a drag-and-drop capture fájlok, a drop-box-szerű tevékenység, lehetővé teszi a linkek megosztását munkatársakkal, és fejlett elemzést kínál.

Sysdig

A Sysdig egy hatékony, platformok közötti és nyílt forráskódú rugalmas hálózatfelügyeleti rendszer, amelyet kifejezetten Linuxra terveztek. Windowsra és Mac OSX-re is működik, de korlátozott funkciókkal, például ellenőrzéssel, hibakereséssel és rendszerelemzéssel. A Sysdig különböző felügyeleti és hibaelhárítási eszközöket használ a Linux rendszer teljesítményéhez, mint például:

• Strace (a rendszerhívások feltárásához)
• htop (a valós idejű folyamatok megfigyeléséhez)
• iftop (a valós idejű…sávszélesség valós idejű megfigyeléséhez)
• netstat (a hálózati kapcsolatok megfigyeléséhez)
• tcpdump (a nyers hálózati forgalom megfigyeléséhez)
• Isof (a megnyitott fájlok megtekintéséhez használt folyamat megismeréséhez)

A Sysdig integrálja az összes fent említett eszközt és egyetlen programban kínálja őket. A felhasználók könnyedén rögzíthetik, szűrhetik, menthetik, módosíthatják, nyomon követhetik és vizsgálhatják a hálózati forgalmat és a Linux rendszerek valós viselkedését. A Sysdig funkciói a következők:

• Orchestrator integrációk
• Intuitív dashboardok
• Cloud-integrációk
• .platform integrációk
• alkalmazás integrációk
• riasztás és eseménykezelés
• sebezhetőségkezelés
• megfelelőségi/audit jelentések készítése
• topológiai térképek
• futásidejű hibaérzékelés
• fájlok rögzítése
• egyszeri aláírás
• Single sign-on

Debooke

Debooke az egyik legegyszerűbb és leghatékonyabb hálózatfigyelő és forgalomelemző eszköz macOS-re. Az eszköz lehetővé teszi a felhasználók számára, hogy lehallgassák és figyeljék az azonos alhálózatban lévő bármely eszköz hálózati forgalmát. Segít a hálózati adatcsomagok adatainak rögzítésében bármilyen eszközről, például mobilról, nyomtatóról, Macről, TV-ről és más eszközökről proxy használata nélkül. A Debooke jellemzői:

• Kövesse nyomon a Wi-Fi sávszélesség használatát és fogyasztását
• Segítség a hálózatfigyeléshez és a mélyreható elemzéshez
• Megjeleníti a Wi-Fi klienseket és az API-kat, amelyekhez kapcsolódnak
• Scan IP, LAN az összes aktív és csatlakoztatott eszköz nyomon követéséhez

Végső gondolatok

A WireShark egy egyszerű, mégis sokoldalú és hatékony hálózatfigyelő eszköz. Könnyen használható és könnyen megtanulható. A megfigyelés mellett a Wireshark további hálózati elemzési funkciókat is kínál, mint például:

• IO grafikonok, amelyek segítenek a felhasználóknak vizuálisan megérteni a hálózatukat
• Színkódolás a különböző paraméterek vagy hálózati információk kiemeléséhez a későbbi felhasználás érdekében
• Szűrők a célhoz szükséges releváns információk megszerzéséhez

Az új felhasználóknak azonban, akik ki akarják próbálni a Wiresharkot, ajánlatos további kutatásokat végezni, és részletes információkat szerezni a Wiresharkról a weboldalon. A meglévő felhasználók számára, akik fejlettebb hálózati felügyeleti és elemzési funkciókat keresnek, és saját protokollbontókat szeretnének létrehozni, próbálkozzanak a fentebb kiemelt külső bővítmények és támogató programok használatával.

A SolarWinds Network Performance Monitor és Response Time Viewer for Wireshark professzionális eszközök, és elképesztően jól működnek. Nemcsak a hálózati problémák valós idejű azonosítására és hibaelhárítására képesek, hanem egyszerre több feladatot is elvégeznek, például alapvető adatok megjelenítését, a hálózati válaszidő kiszámítását és egyebeket. Ezek az eszközök drámaian megnövelik a hálózatelemzési erőfeszítések mélységét.