Analisando Tráfego de Rede com Wireshark

Quando Usar

• Investigar suspeitas de invasões de rede examinando evidências em nível de pacote de tráfego de comando e controle, exfiltração de dados ou movimento lateral
• Diagnosticar problemas de desempenho de rede, como retransmissões, fragmentação ou falhas de resolução de DNS
• Analisar padrões de comunicação de malware capturando tráfego de hosts em sandbox ou isolados
• Validar regras de firewall e IDS confirmando qual tráfego está realmente atravessando segmentos de rede
• Extrair arquivos, credenciais ou indicadores de comprometimento de sessões de rede capturadas

Não use para capturar tráfego em redes sem autorização, para interceptar comunicações privadas sem autoridade legal, ou como substituto para plataformas SIEM completas em monitoramento de produção.

Pré-requisitos

• Wireshark 4.0+ e utilitário de linha de comando tshark instalados
• Privilégios de root/sudo ou pertencimento ao grupo wireshark para captura de pacotes ao vivo
• Acesso à interface de rede (NIC física, porta span ou tap de rede) ao segmento monitorado
• Espaço em disco suficiente para arquivos de captura de pacotes (estime 1 GB por minuto em links gigabit movimentados)
• Familiaridade com protocolos TCP/IP, HTTP, DNS, TLS e SMB em nível de pacote

Fluxo de Trabalho

Passo 1: Configurar o Ambiente de Captura

Configure a interface de captura e os filtros para direcionar o tráfego relevante:

# List available interfaces
tshark -D

# Start capture on eth0 with a capture filter to limit scope
tshark -i eth0 -f "host 10.10.5.23 and (port 80 or port 443 or port 445)" -w /tmp/capture.pcapng

# Capture with ring buffer to manage disk usage (10 files, 100MB each)
tshark -i eth0 -b filesize:102400 -b files:10 -w /tmp/rolling_capture.pcapng

# Capture on multiple interfaces simultaneously
tshark -i eth0 -i eth1 -w /tmp/multi_interface.pcapng

Para a GUI do Wireshark, defina o filtro de captura na caixa de diálogo Opções de Captura antes de iniciar.

Passo 2: Aplicar Filtros de Exibição para Análise Direcionada

# Filter HTTP traffic containing suspicious user agents
tshark -r capture.pcapng -Y "http.user_agent contains \"curl\" or http.user_agent contains \"Wget\""

# Find DNS queries to suspicious TLDs
tshark -r capture.pcapng -Y "dns.qry.name contains \".xyz\" or dns.qry.name contains \".top\" or dns.qry.name contains \".tk\""

# Identify TCP retransmissions indicating network issues
tshark -r capture.pcapng -Y "tcp.analysis.retransmission"

# Filter SMB traffic for lateral movement detection
tshark -r capture.pcapng -Y "smb2.cmd == 5 or smb2.cmd == 3" -T fields -e ip.src -e ip.dst -e smb2.filename

# Find cleartext credential transmission
tshark -r capture.pcapng -Y "ftp.request.command == \"PASS\" or http.authbasic"

# Detect beaconing patterns (regular interval connections)
tshark -r capture.pcapng -Y "ip.dst == 203.0.113.50" -T fields -e frame.time_relative -e ip.src -e tcp.dstport

Passo 3: Análise Profunda Específica de Protocolo

# Follow a TCP stream to reconstruct a conversation
tshark -r capture.pcapng -q -z follow,tcp,ascii,0

# Analyze HTTP request/response pairs
tshark -r capture.pcapng -Y "http" -T fields -e frame.time -e ip.src -e ip.dst -e http.request.method -e http.request.uri -e http.response.code

# Extract DNS query/response statistics
tshark -r capture.pcapng -q -z dns,tree

# Analyze TLS handshakes for weak cipher suites
tshark -r capture.pcapng -Y "tls.handshake.type == 2" -T fields -e ip.src -e ip.dst -e tls.handshake.ciphersuite

# SMB file access enumeration
tshark -r capture.pcapng -Y "smb2" -T fields -e frame.time -e ip.src -e ip.dst -e smb2.filename -e smb2.cmd

Passo 4: Extrair Artefatos e IOCs

# Export HTTP objects (files transferred over HTTP)
tshark -r capture.pcapng --export-objects http,/tmp/http_objects/

# Export SMB objects (files transferred over SMB)
tshark -r capture.pcapng --export-objects smb,/tmp/smb_objects/

# Extract all unique destination IPs for threat intelligence lookup
tshark -r capture.pcapng -T fields -e ip.dst | sort -u > unique_dest_ips.txt

# Extract SSL/TLS certificate information
tshark -r capture.pcapng -Y "tls.handshake.type == 11" -T fields -e x509sat.uTF8String -e x509ce.dNSName

# Extract all URLs accessed
tshark -r capture.pcapng -Y "http.request" -T fields -e http.host -e http.request.uri | sort -u > urls.txt

# Hash extracted files for IOC matching
find /tmp/http_objects/ -type f -exec sha256sum {} \; > extracted_file_hashes.txt

…