Drahthai, ehemals Ethereal, ist ein leistungsstarkes Open-Source-Programm, das Benutzern hilft, Informationen zu überwachen und zu analysieren, die zu und von einem bestimmten Netzwerk übertragen werden. Die Software kann komplexe Daten aus Hunderten von Protokollen in den meisten Netzwerktypen verarbeiten und sie in Datenpaketen organisieren. Wenn das Netzwerk jedoch unerwartet ausfällt oder Probleme auftreten, kann die Suche nach Paketen überwältigend sein und viel Zeit und Energie erfordern. Hier kommt die Benutzerfreundlichkeit von Wireshark zum Tragen.
Die Software unterstützt Filter, mit denen Sie große Informationsmengen schnell filtern können. Anstatt die erfassten Dateien manuell zu prüfen, können Sie einen Filter anwenden, der Sie zu den Daten führt, die Sie überprüfen möchten.
Lesen Sie weiter, um die besten Wireshark-Filter zu erfahren und zu erfahren, wie Sie sie für die spätere Verwendung markieren.
Wireshark-Filter
Es gibt zwei Arten von Filtern in Wireshark. Der erste sind die Aufnahmefilter, der andere die Anzeigefilter. Die beiden arbeiten mit einer unterschiedlichen Syntax und haben spezifische Zwecke.
Aufnahmefilter werden vor dem Starten eines Aufnahmevorgangs festgelegt. Capture-Filterparameter erfassen und speichern nur den Datenverkehr, den Sie analysieren möchten. Sobald der Erfassungsvorgang gestartet ist, ist es nicht mehr möglich, diesen Filtertyp zu ändern.
Andererseits enthalten Anzeigefilter Parameter, die auf alle erfassten Pakete angewendet werden. Sie können diesen Filtertyp vor dem Starten eines Aufnahmevorgangs festlegen und ihn dann anpassen oder abbrechen. Darüber hinaus können Sie es festlegen, während der Vorgang ausgeführt wird. Ein Anzeigefilter hält Daten in einem Trace-Puffer, blendet den Datenverkehr aus, der Sie nicht interessiert, und zeigt nur die Informationen an, die Sie sehen möchten.
Wireshark verfügt über eine beeindruckende Bibliothek integrierter Filter, mit denen Benutzer ihre Netzwerke besser überwachen können. Um auf einen vorhandenen Filter zuzugreifen und ihn zu verwenden, müssen Sie im Abschnitt „Anzeigefilter anwenden“ unterhalb der Symbolleiste des Programms den korrekten Namen eingeben. Wenn Sie einen Aufnahmefilter suchen und anwenden möchten, verwenden Sie den Abschnitt „Geben Sie eine Aufnahme ein“ in der Mitte des Begrüßungsbildschirms.
Obwohl Wireshark über umfassende Filterfunktionen verfügt, ist es oft schwierig, sich die richtige Syntax zu merken. Wenn Sie Schwierigkeiten haben, den richtigen Filter zu schreiben, verschwenden Sie wertvolle Zeit.
Aber Sie haben Glück. Wir haben eine Liste der besten Wireshark-Filter zusammengestellt, um Ihnen zu helfen, das Programm effizienter zu nutzen und das Rätselraten bei der Analyse von Unmengen gespeicherter Daten zu vermeiden.
Beste Wireshark-Filter
Schauen wir uns einige nützliche Filter an, mit denen Sie das Programm beherrschen können.
ip.address == xxxx
Der obige Filter zeigt nur erfasste Pakete an, die die eingestellte IP-Adresse enthalten. Es ist ein nützliches Werkzeug zur Untersuchung einer Verkehrsart. Die Filteranwendung verarbeitet den ausgehenden Datenverkehr und ermittelt, welcher mit der gesuchten Quelle oder IP übereinstimmt.
Wenn Sie nach Ziel filtern möchten, verwenden Sie die Variante ip.dst == xxxx.
Die Variante ip.src == xxxx hilft Ihnen beim Filtern nach Quelle.
IP-Adresse == xxxx && IP-Adresse == xxxx
Diese Zeichenfolge richtet einen Konversationsfilter zwischen zwei Standard-IP-Adressen ein. Es ist von unschätzbarem Wert für die Überprüfung von Daten zwischen zwei Netzwerken oder ausgewählten Hosts. Der Filter ignoriert unnötige Daten und konzentriert sich nur darauf, die Informationen zu finden, die Sie am meisten interessieren.
Verwenden Sie für die Zielfilterung die Zeichenfolge ip.src == xxxx && ip.dst == xxxx.
http oder DNS
Wenn Sie diesen Filter anwenden, werden alle DNS- oder HTTP-Protokolle angezeigt. Es handelt sich um einen zeitsparenden Filter, der es Ihnen ermöglicht, sich auf ein bestimmtes Protokoll zu konzentrieren, das Sie untersuchen möchten. Wenn Sie beispielsweise verdächtigen FTP-Verkehr finden möchten, müssen Sie den Filter lediglich auf „ftp“ setzen. Um herauszufinden, warum eine Webseite nicht angezeigt wird, stellen Sie den Filter auf „DNS“.
tcp.port==xxx
Der obige Filter beschränkt Ihre Suche auf einen bestimmten Zielport oder eine bestimmte Zielquelle. Anstatt ein gesamtes erfasstes Paket zu durchlaufen, generiert der Filter Daten über den Datenverkehr, der an einem einzelnen Port ein- oder ausgeht. Dies ist einer der praktischsten Filter, auf den Sie sich verlassen können, um Ihre Aufgabe zu erledigen, wenn Sie wenig Zeit haben.
tcp.flags.reset==1
Wenn Sie diesen Filter anwenden, wird jeder TCP-Reset angezeigt. Jedem erfassten Paket ist ein TCP zugeordnet. Wenn der Wert auf eins gesetzt ist, wird der empfangende PC benachrichtigt, den Betrieb dieser Verbindung einzustellen. Dies ist einer der beeindruckendsten Wireshark-Filter, da ein TCP-Reset die Verbindung sofort beendet.
TCP enthält xxx
Dieser Filter findet alle TCP-Capture-Pakete, die den angegebenen Begriff enthalten. Wenn Sie wissen möchten, wo das Element in einem Schnappschuss erscheint, geben Sie seinen Namen anstelle von „xxx“ ein. Der Filter findet alle Vorkommen des Begriffs, sodass Sie nicht das gesamte Paket lesen müssen. Wenn Sie beispielsweise „xxx“ durch „Verkehr“ ersetzen, werden alle Pakete angezeigt, die „Verkehr“ enthalten. Am besten verwenden Sie diesen Filter, um eine bestimmte Benutzer-ID oder Zeichenfolge zu scannen.
!(arp oder icmp oder dns)
Der obige Filter dient dazu, bestimmte Protokolle auszuschließen. Verwenden Sie es, um das Arp-, DNS- oder ICMP-Protokoll zu entfernen, das Sie nicht benötigen. Damit können Sie ablenkende Daten blockieren, sodass Sie sich auf die Analyse dringenderer Informationen konzentrieren können.
tcp.time_delta > .250
Dieser Filter zeigt TCP-Pakete mit einer Deltazeit von mehr als 250 mSek in ihrem Fluss an.
Denken Sie daran, dass Sie vor der Verwendung des Filters den Zeitstempel der TCP-Konvertierung berechnen müssen. Die Berechnung von Gesprächsverzögerungen ist zwar keine allzu große Herausforderung, erfordert jedoch einige fortgeschrittene Wireshark-Kenntnisse.
tcp.analysis.flags && !tcp.analysis.window_update
Mit diesem Filter können Sie erneute Übertragungen, Nullfenster und doppelte Angriffe in einem einzigen Trace anzeigen. Dies ist eine großartige Möglichkeit, mittelmäßige Anwendungsleistung oder Paketverluste zu finden.
Tipps zur Verwendung von Wireshark-Filtern
Sich nicht an die richtige Syntax für einen Filter zu erinnern, ist frustrierend und kann dazu führen, dass Sie wertvolle Daten nicht schnell finden.
Manchmal kann Ihnen die Autovervollständigungsfunktion von Wireshark bei der Lösung des Problems helfen. Wenn Sie beispielsweise sicher sind, dass der Filter mit „tcp“ beginnt, geben Sie diese Informationen in das entsprechende Suchfeld ein. Wireshark generiert eine Liste von Filtern, die mit „tcp“ beginnen. Scrollen Sie in den Suchergebnissen nach unten, bis Sie den richtigen Spitznamen gefunden haben.
Eine weitere Möglichkeit, Filter zu finden, ist die Option „Lesezeichen“ neben dem Eingabefeld. Wenn Sie „Anzeigefilter verwalten“ oder „Filterausdrücke verwalten“ auswählen, können Sie Filter ändern, hinzufügen oder löschen. Wenn Sie sich komplexe Syntaxabkürzungen nicht besonders sicher merken können, ist die Option „Lesezeichen“ ein einfaches Tool zum Abrufen häufig verwendeter Wireshark-Filter.
Anstatt komplexe Aufnahmefilter neu zu schreiben, führen Sie die folgenden Schritte aus, um sie im Menü „Lesezeichen“ zu speichern:
- Start Drahthai und navigieren Sie zur Option „Lesezeichen“.
- Klicken Sie auf „Anzeigefilter verwalten“, um das Dialogfeld anzuzeigen.
- Suchen Sie im Dialogfeld nach dem entsprechenden Filter, tippen Sie darauf und drücken Sie die Schaltfläche „+“, um ihn zu speichern.
So speichern Sie einen Anzeigefilter:
- Öffnen Sie Wireshark und gehen Sie zur Option „Lesezeichen“.
- Wählen Sie „Anzeigefilter verwalten“, um das Dialogfenster zu öffnen.
- Durchsuchen Sie die Liste der Optionen, tippen Sie zweimal auf den entsprechenden Filter und klicken Sie auf die Schaltfläche „+“, um ihn als Lesezeichen zu speichern.
Wenn Sie es eilig haben, bestimmte Daten zu analysieren, können Sie auf den Abwärtspfeil neben dem Eingabefeld klicken. Die Aktion generiert eine Liste der zuvor verwendeten Filter.
Nutzen Sie Filter für eine problemlose Datenanalyse
Dank seiner praktischen Filter hat sich Wireshark zu einem der beliebtesten Netzwerkprotokollanalysatoren entwickelt. Sie können damit Zeit sparen und bestimmte Parameter wie IP-Adressen oder HEX-Werte schnell finden. Wenn Sie Schwierigkeiten haben, sich die verschiedenen Spitznamen der Filter zu merken, die Sie häufig verwenden, speichern Sie sie zur späteren Verwendung als Favoriten.
Wie oft verwenden Sie Wireshark-Filter? Worauf verlassen Sie sich mehr, Aufnahme- oder Anzeigefilter? Haben Sie jemals eine der oben genannten Optionen genutzt? Lassen Sie es uns im Kommentarbereich wissen.
