Wireshark - Versionsgeschichte

St191298: /* Wireshark */

2020-07-05T16:23:55Z

Wireshark

← Nächstältere Version		Version vom 5. Juli 2020, 16:23 Uhr
Zeile 1:		Zeile 1:
	= Wireshark =		= Wireshark =


	== Einleitung ==		== Einleitung ==

	Wireshark ist eine quelloffene Software zur Analyse von Netzwerkverkehr und umfasst neben einer grafischen Benutzeroberfläche auch die CLI-Anwendung tshark. Das Analyseprogramm unterstützt verschiedene Betriebssysteme, unter anderem Windows, Linux und macOS, und ermöglicht sowohl die Live-Auswertung des Datenverkehrs der Netzwerk-Interfaces eines Hostsystems als auch die nachträgliche Analyse von aufgenommenem Traffic. Wireshark findet in vielen Gebieten der IT Anwendung und wird unter anderem beim Reverse Engineering und der Malware-Analyse, sowie in der digitalen Forensik eingesetzt.		Wireshark ist eine quelloffene Software zur Analyse von Netzwerkverkehr und umfasst neben einer grafischen Benutzeroberfläche auch die CLI-Anwendung tshark. Das Analyseprogramm unterstützt verschiedene Betriebssysteme, unter anderem Windows, Linux und macOS, und ermöglicht sowohl die Live-Auswertung des Datenverkehrs der Netzwerk-Interfaces eines Hostsystems als auch die nachträgliche Analyse von aufgenommenem Traffic. Wireshark findet in vielen Gebieten der IT Anwendung und wird unter anderem beim Reverse Engineering und der Malware-Analyse, sowie in der digitalen Forensik eingesetzt.


	== Anwendung ==		== Anwendung ==

St191298: /* Anwendung */

2020-07-05T16:23:18Z

Anwendung

← Nächstältere Version		Version vom 5. Juli 2020, 16:23 Uhr
Zeile 8:		Zeile 8:

	== Anwendung ==		== Anwendung ==

	Ein großes Problem bei der forensischen Auswertung von Netzwerkdaten ist deren Flüchtigkeit. Mit Wireshark können diese volatilen Daten während des Vorfalls erfasst oder bereits aufgezeichnete Kommunikationsflüsse im Nachhinein ausgewertet werden.		Ein großes Problem bei der forensischen Auswertung von Netzwerkdaten ist deren Flüchtigkeit. Mit Wireshark können diese volatilen Daten während des Vorfalls erfasst oder bereits aufgezeichnete Kommunikationsflüsse im Nachhinein ausgewertet werden.


	=== Live-Forensik ===		=== Live-Forensik ===

	Für die Auswertung von Netzwerkverkehr während eines Vorfalls sollte ein dedizierter Host aufgesetzt werden, der als Brücke zwischen dem infizierten Rechner und der Senke der Kommunikation steht. Der zur Analyse verwendete Computer könnte beispielsweise ein Laptop mit zwei Netzwerkkarten sein. Der Laptop kann direkt zum Geschädigten gebracht werden, um die forensische Untersuchung durchzuführen. Eine weitere Möglichkeit ist das Anzapfen einer Ethernetverbindung mit einem sogenannten LAN Tap, der die ausgetauschten Daten auch an einen weiteren Host sendet, wo die Daten dann ausgewertet werden können.		Für die Auswertung von Netzwerkverkehr während eines Vorfalls sollte ein dedizierter Host aufgesetzt werden, der als Brücke zwischen dem infizierten Rechner und der Senke der Kommunikation steht. Der zur Analyse verwendete Computer könnte beispielsweise ein Laptop mit zwei Netzwerkkarten sein. Der Laptop kann direkt zum Geschädigten gebracht werden, um die forensische Untersuchung durchzuführen. Eine weitere Möglichkeit ist das Anzapfen einer Ethernetverbindung mit einem sogenannten LAN Tap, der die ausgetauschten Daten auch an einen weiteren Host sendet, wo die Daten dann ausgewertet werden können.

	Wireshark sollte nicht direkt auf einem betroffenen System installiert werden. Zum einen sind viele Schadprogramme in der Lage, den Sniffer zu erkennen und stellen die Kommunikation ein. Zudem wäre die forensische Untersuchung anfechtbar. Der Rechner des Opfers ist keine forensische Umgebung und die gewonnen Ergebnisse wären deshalb nicht replizierbar.		Wireshark sollte nicht direkt auf einem betroffenen System installiert werden. Zum einen sind viele Schadprogramme in der Lage, den Sniffer zu erkennen und stellen die Kommunikation ein. Zudem wäre die forensische Untersuchung anfechtbar. Der Rechner des Opfers ist keine forensische Umgebung und die gewonnen Ergebnisse wären deshalb nicht replizierbar.


	=== Post-Mortem Analyse ===		=== Post-Mortem Analyse ===
			Wurden im Rahmen der strategischen Vorbereitung Sniffer in die Netzwerktopologie eingebracht, können die während des Vorfalls aufgezeichneten Daten auch im Nachhinein ausgewertet werden. Das gängige Dateiformat ist hier PCAP (Packet CAPture), eine weitverbreiteter Dateistandard für Netzwerkdaten, der unter anderem von Tools wie tcpdump genutzt wird.
	Wurden im Rahmen der strategischen Vorbereitung Sniffer in die Netzwerktopologie eingebracht, können die während des Vorfalls aufgezeichneten Daten auch im Nachhinein ausgewertet werden. Das gängige Dateiformat ist hier PCAP (Packet CAPture), eine weitverbreiteter Dateistandard für Netzwerkdaten, der unter anderem von Tools wie tcpdump genutzt wird.


	== Funktionen ==		== Funktionen ==

St191298: /* Entschlüsselung von Paketen */

2020-07-05T16:22:06Z

Entschlüsselung von Paketen

← Nächstältere Version		Version vom 5. Juli 2020, 16:22 Uhr
Zeile 39:		Zeile 39:

	Mit Wireshark können verschiedene kryptografische Protokolle dechiffriert werden, solange das für die Entschlüsselung benötigte Geheimnis vorliegt. Bei TLS/SSL Verbindungen beispielsweise müssen Wireshark entweder Preshared Secrets oder private RSA-Keys übergeben werden.		Mit Wireshark können verschiedene kryptografische Protokolle dechiffriert werden, solange das für die Entschlüsselung benötigte Geheimnis vorliegt. Bei TLS/SSL Verbindungen beispielsweise müssen Wireshark entweder Preshared Secrets oder private RSA-Keys übergeben werden.
	~~Dieser Screenshot zeigt eine entschlüsselte TLS 1.2 Verbindung, schwarz markiert ist die Anfrage des Clients und selektiert (blau) ist die Antwort des Servers.~~


	[[Datei:SSL-TLS Decryption in Wireshark.png\|800px\|center]]		[[Datei:SSL-TLS Decryption in Wireshark.png\|800px\|center]]

			Dieser Screenshot zeigt eine entschlüsselte TLS 1.2 Verbindung, schwarz markiert ist die Anfrage des Clients und selektiert (blau) ist die Antwort des Servers.
	<br clear=all>		<br clear=all>

St191298: /* Filtern nach Protokollen */

2020-07-05T16:21:18Z

Filtern nach Protokollen

← Nächstältere Version		Version vom 5. Juli 2020, 16:21 Uhr
Zeile 32:		Zeile 32:
	[[Datei:Wireshark Filterfunktion Beispiel.png\|mini\|Wireshark Filterfunktion]]		[[Datei:Wireshark Filterfunktion Beispiel.png\|mini\|Wireshark Filterfunktion]]

	Im Bild rechts werden Paketdaten mit dem Filterausdruck 'dns && dns.qry.name == "it-forensik.fiw.hs-wismar.de"' nach DNS Anfragen für den Hostname "it-forensik.fiw.hs-wismar.de" gefiltert.		Im Bild rechts werden Paketdaten mit dem Filterausdruck <pre>dns && dns.qry.name == "it-forensik.fiw.hs-wismar.de"</pre> nach DNS Anfragen für den Hostname "it-forensik.fiw.hs-wismar.de" gefiltert.

	<br clear=all>		<br clear=all>


	=== Entschlüsselung von Paketen ===		=== Entschlüsselung von Paketen ===

St191298: Bilder hinzugefügt

2020-07-05T16:16:58Z

Bilder hinzugefügt

← Nächstältere Version		Version vom 5. Juli 2020, 16:16 Uhr
Zeile 30:		Zeile 30:
	Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.		Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.

	[[Datei:Wireshark Filterfunktion Beispiel.png\|~~links~~\|Wireshark Filterfunktion~~\|800px~~]]		[[Datei:Wireshark Filterfunktion Beispiel.png\|mini\|Wireshark Filterfunktion]]

			Im Bild rechts werden Paketdaten mit dem Filterausdruck 'dns && dns.qry.name == "it-forensik.fiw.hs-wismar.de"' nach DNS Anfragen für den Hostname "it-forensik.fiw.hs-wismar.de" gefiltert.

			<br clear=all>


	=== Entschlüsselung von Paketen ===		=== Entschlüsselung von Paketen ===

	Mit Wireshark können verschiedene kryptografische Protokolle dechiffriert werden, solange das für die Entschlüsselung benötigte Geheimnis vorliegt. Bei TLS/SSL Verbindungen beispielsweise müssen Wireshark entweder Preshared Secrets oder private RSA-Keys übergeben werden.		Mit Wireshark können verschiedene kryptografische Protokolle dechiffriert werden, solange das für die Entschlüsselung benötigte Geheimnis vorliegt. Bei TLS/SSL Verbindungen beispielsweise müssen Wireshark entweder Preshared Secrets oder private RSA-Keys übergeben werden.
	Dieser Screenshot zeigt eine entschlüsselte TLS 1.2 Verbindung, schwarz markiert ist die Anfrage des Clients und selektiert (blau) ist die Antwort des Servers		Dieser Screenshot zeigt eine entschlüsselte TLS 1.2 Verbindung, schwarz markiert ist die Anfrage des Clients und selektiert (blau) ist die Antwort des Servers.


			[[Datei:SSL-TLS Decryption in Wireshark.png\|800px\|center]]

			<br clear=all>

	=== Auswertung von VOIP-Kommunikation ===		=== Auswertung von VOIP-Kommunikation ===

	Über Wireshark kann auch Internettelefonie ausgewertet werden. Dafür gibt es VOIP-spezifische Funktionen wie die Darstellung von visuellen Call-FLow Diagrammen, aus denen hervorgeht wer, wann, mit wem, wie lange telefoniert hat und die Möglichkeit, übertragene Tonspuren wiederzugeben. Der Screenshot zeigt einen solchen Callflow und den Dialog, in dem die ausgetauschten Audio-Pakete als Ton abgespielt werden können.		Über Wireshark kann auch Internettelefonie ausgewertet werden. Dafür gibt es VOIP-spezifische Funktionen wie die Darstellung von visuellen Call-FLow Diagrammen, aus denen hervorgeht wer, wann, mit wem, wie lange telefoniert hat und die Möglichkeit, übertragene Tonspuren wiederzugeben.
			[[Datei:Voip wireshark.png\|mini\|rechts\|VoIP-Callflows in Wireshark mit der Media-Replay-Funktion]]
			Der Screenshot rechts zeigt einen solchen Callflow und den Dialog, in dem die ausgetauschten Audio-Pakete als Ton abgespielt werden können.


			<br clear=all>

	== Quellen ==		== Quellen ==
	* https://wiki.wireshark.org/VoIP_calls		* https://wiki.wireshark.org/VoIP_calls
	* https://digital-forensics.sans.org/community/papers/gcfa/forensic-timeline-analysis-wireshark-giac-gcfa-gold-certification_9603		* https://digital-forensics.sans.org/community/papers/gcfa/forensic-timeline-analysis-wireshark-giac-gcfa-gold-certification_9603

St191298: /* Filtern nach Protokollen */

2020-07-05T15:54:10Z

Filtern nach Protokollen

← Nächstältere Version		Version vom 5. Juli 2020, 15:54 Uhr
Zeile 30:		Zeile 30:
	Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.		Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.

	[[Datei:Wireshark Filterfunktion Beispiel.png\|~~rechts~~\|Wireshark Filterfunktion\|~~400x300px~~]]		[[Datei:Wireshark Filterfunktion Beispiel.png\|links\|Wireshark Filterfunktion\|800px]]

	=== Entschlüsselung von Paketen ===		=== Entschlüsselung von Paketen ===

St191298: /* Filtern nach Protokollen */

2020-07-05T15:50:44Z

Filtern nach Protokollen

← Nächstältere Version		Version vom 5. Juli 2020, 15:50 Uhr
Zeile 30:		Zeile 30:
	Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.		Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.

	[[Datei:Wireshark Filterfunktion Beispiel.png\|~~zentriert~~\|Wireshark Filterfunktion]]		[[Datei:Wireshark Filterfunktion Beispiel.png\|rechts\|Wireshark Filterfunktion\|400x300px]]

	=== Entschlüsselung von Paketen ===		=== Entschlüsselung von Paketen ===

St191298: /* Filtern nach Protokollen */

2020-07-05T15:47:25Z

Filtern nach Protokollen

← Nächstältere Version		Version vom 5. Juli 2020, 15:47 Uhr
Zeile 30:		Zeile 30:
	Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.		Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.

	[[Datei:Wireshark Filterfunktion Beispiel.png\|zentriert\|Wireshark Filterfunktion~~\|800x600px~~]]		[[Datei:Wireshark Filterfunktion Beispiel.png\|zentriert\|Wireshark Filterfunktion]]

	=== Entschlüsselung von Paketen ===		=== Entschlüsselung von Paketen ===

St191298: /* Filtern nach Protokollen */

2020-07-05T15:45:33Z

Filtern nach Protokollen

← Nächstältere Version		Version vom 5. Juli 2020, 15:45 Uhr
Zeile 30:		Zeile 30:
	Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.		Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.

			[[Datei:Wireshark Filterfunktion Beispiel.png\|zentriert\|Wireshark Filterfunktion\|800x600px]]

	=== Entschlüsselung von Paketen ===		=== Entschlüsselung von Paketen ===

St191298: Die Seite wurde neu angelegt: „= Wireshark = == Einleitung == Wireshark ist eine quelloffene Software zur Analyse von Netzwerkverkehr und umfasst neben einer grafischen Benutzeroberfläch…“

2020-07-05T15:39:22Z

Die Seite wurde neu angelegt: „= Wireshark = == Einleitung == Wireshark ist eine quelloffene Software zur Analyse von Netzwerkverkehr und umfasst neben einer grafischen Benutzeroberfläch…“

Neue Seite

= Wireshark =

== Einleitung ==

Wireshark ist eine quelloffene Software zur Analyse von Netzwerkverkehr und umfasst neben einer grafischen Benutzeroberfläche auch die CLI-Anwendung tshark. Das Analyseprogramm unterstützt verschiedene Betriebssysteme, unter anderem Windows, Linux und macOS, und ermöglicht sowohl die Live-Auswertung des Datenverkehrs der Netzwerk-Interfaces eines Hostsystems als auch die nachträgliche Analyse von aufgenommenem Traffic. Wireshark findet in vielen Gebieten der IT Anwendung und wird unter anderem beim Reverse Engineering und der Malware-Analyse, sowie in der digitalen Forensik eingesetzt.

== Anwendung ==

Ein großes Problem bei der forensischen Auswertung von Netzwerkdaten ist deren Flüchtigkeit. Mit Wireshark können diese volatilen Daten während des Vorfalls erfasst oder bereits aufgezeichnete Kommunikationsflüsse im Nachhinein ausgewertet werden.

=== Live-Forensik ===

Für die Auswertung von Netzwerkverkehr während eines Vorfalls sollte ein dedizierter Host aufgesetzt werden, der als Brücke zwischen dem infizierten Rechner und der Senke der Kommunikation steht. Der zur Analyse verwendete Computer könnte beispielsweise ein Laptop mit zwei Netzwerkkarten sein. Der Laptop kann direkt zum Geschädigten gebracht werden, um die forensische Untersuchung durchzuführen. Eine weitere Möglichkeit ist das Anzapfen einer Ethernetverbindung mit einem sogenannten LAN Tap, der die ausgetauschten Daten auch an einen weiteren Host sendet, wo die Daten dann ausgewertet werden können.

Wireshark sollte nicht direkt auf einem betroffenen System installiert werden. Zum einen sind viele Schadprogramme in der Lage, den Sniffer zu erkennen und stellen die Kommunikation ein. Zudem wäre die forensische Untersuchung anfechtbar. Der Rechner des Opfers ist keine forensische Umgebung und die gewonnen Ergebnisse wären deshalb nicht replizierbar.

=== Post-Mortem Analyse ===

Wurden im Rahmen der strategischen Vorbereitung Sniffer in die Netzwerktopologie eingebracht, können die während des Vorfalls aufgezeichneten Daten auch im Nachhinein ausgewertet werden. Das gängige Dateiformat ist hier PCAP (Packet CAPture), eine weitverbreiteter Dateistandard für Netzwerkdaten, der unter anderem von Tools wie tcpdump genutzt wird.

== Funktionen ==

=== Filtern nach Protokollen ===

Mit Wiresharks Filterausdrücken lassen sich Pakete nach verschiedenen Eigenschaften wie Protokoll oder beteiligten Hosts filtern.

=== Entschlüsselung von Paketen ===

Mit Wireshark können verschiedene kryptografische Protokolle dechiffriert werden, solange das für die Entschlüsselung benötigte Geheimnis vorliegt. Bei TLS/SSL Verbindungen beispielsweise müssen Wireshark entweder Preshared Secrets oder private RSA-Keys übergeben werden.
Dieser Screenshot zeigt eine entschlüsselte TLS 1.2 Verbindung, schwarz markiert ist die Anfrage des Clients und selektiert (blau) ist die Antwort des Servers

=== Auswertung von VOIP-Kommunikation ===

Über Wireshark kann auch Internettelefonie ausgewertet werden. Dafür gibt es VOIP-spezifische Funktionen wie die Darstellung von visuellen Call-FLow Diagrammen, aus denen hervorgeht wer, wann, mit wem, wie lange telefoniert hat und die Möglichkeit, übertragene Tonspuren wiederzugeben. Der Screenshot zeigt einen solchen Callflow und den Dialog, in dem die ausgetauschten Audio-Pakete als Ton abgespielt werden können.

== Quellen ==
* https://wiki.wireshark.org/VoIP_calls
* https://digital-forensics.sans.org/community/papers/gcfa/forensic-timeline-analysis-wireshark-giac-gcfa-gold-certification_9603