Software Wireshark

Wireshark 

Es un analizador de protocolos utilizado para realizar análisis y solucionar problemas en redes de comunicaciones, para desarrollo de software y protocolos, y como una herramienta didáctica.

La funcionalidad que provee es similar a la de tcpdump, pero añade una interfaz gráfica y muchas opciones de organización y filtrado de información. 

tcpdump es un herramienta en línea de comandos cuya utilidad principal es analizar el tráfico que circula por la red. 

Introducción

Una herramienta básica para observar los mensajes intercambiados entre aplicaciones es un analizador de protocolos (packetsniffer). Un analizador de protocolos es un elemento pasivo, únicamente observa mensajes que son transmitidos y recibidos desde y hacia un elemento de la red, pero nunca envía él mismo mensajes.

Está compuesto principalmente de dos elementos: una librería de captura de paquetes, que recibe una copia de cada trama de enlace de datos que se envía o recibe, y un analizador de paquetes, que muestra los campos correspondientes a cada uno de los paquetes capturados. 

Aplicaciones

Wireshark es una herramienta gráfica utilizada por los profesionales y administradores de red para identificar y analizar tráfico en un momento determinado. Pertenece a lo que en el lenguaje IT se denominan analizadores de protocolos de red, analizadores de paquetes, packetsniffer o sniffer. 

Características

• Disponible para UNIX, LINUX, Windows y Mac OS.

• Captura los paquetes directamente desde una interfaz de red.

• Permite obtener detalladamente la información del protocolo utilizado en el paquete capturado.

• Cuenta con la capacidad de importar/exportar los paquetes capturados desde/hacia otros programas.

• Filtra los paquetes que cumplan con un criterio definido previamente.

• Realiza la búsqueda de los paquetes que cumplan con un criterio definido previamente.
• Permite obtener estadísticas.
• Sus funciones gráficas son muy poderosas ya que identifica mediante el uso de colores los paquetes que cumplen con los filtros establecidos. 

Requerimientos Técnicos

Las características de los equipos dependen del volumen de información que se desee almacenar en caso de guardar los registros que genera Wireshark de los paquetes capturados, además del tráfico y tamaño de la red. 

Para el caso de Windows:

• Sistema Operativo: Windows XP Home, XP Pro, XP Tablet PC, XP Media Center, Server 2003, Vista, 2008, 7, o 2008 R2.
• Arquitectura:32 y 64 bits.
• Memoria RAM:128MB (depende del número de paquetes se vayan a capturar).
• Espacio en Disco: 75MB disponibles en Disco (depende del número de paquetes que se vayan a almacenar en disco).
• Resolución de pantalla: 1280x1024.
• Tarjetas de Red Soportadas: Para el caso de las Ethernet cualquier tarjeta que soporte Windows. Para el caso de las tarjetas inalámbricas las 802.11. 

WinPCap

WinPcap es un software que permite a la tarjeta interfaz de red funcionar en un modo híbrido. No obstante, este también puede ser considerado como “aplicación potencialmente no deseada” que debería ser desinstalada si la tienes en tu ordenador desde la nada. 

WinPcap ha sido discutido en varios foros de seguridad, y parece que la razón principal por la que los usuarios lo consideran “virus” es por sus métodos de distribución. Justo como otras muchas aplicaciones similares, la distribución de este programa depende de algunos freeware y shareware.

Pasos para Instalar WireShark en Windows

1.Una vez que se obtiene el instalador desde http://www.wireshark.org/download.html se ejecuta el archivo Wireshark descargado para iniciar la instalación. Es importante mencionar que las librerías necesarias como WinPcap están incluidas en el instalador.

              

2. Presionando el botón Next> se despliega la especificación de la licencia y al presionar el botón I Agree se despliega la ventana para seleccionar los componentes que se desean instalar.

           

Para esta instalación se seleccionarán los siguientes:

• Wireshark: GUI del analizador de protocolos.
• TShark: línea de comando del analizador de protocolos.
• Plugins/Extensions: especificar plugins y extensiones para TShark y Wireshark. En este punto deberá seleccionar todos los ítems listados. 
• Tool: ofrece herramientas adicionales aplicar a los archivos que contienen los paquetes para su análisis seleccionar todas las ofrecidas durante la instalación. 

3. Después aparece la pantalla que permite seleccionar si se desea crear un acceso directo a la aplicación en el escritorio, crear un menú de inicio y visualizar el icono en la barra de tareas. Adicionalmente se tiene la posibilidad de permitir, que los archivos generados por otros analizadores de tráfico puedan ser visualizados con Wireshark (opción que debemos seleccionar).

4. A continuación se deberá seleccionar el directorio donde se instalará la aplicación, en este punto se acepta el indicado por defecto en el instalador.

5. El instalador de Wireshark contiene una versión de WinPcap, se verifica si se debe actualizar versión en el PC donde se está realizado la instalación y ofrece la opción de agregar un servicio para que usuarios que no tiene privilegios de administrador pueda capturar paquetes. En este punto se seleccionan ambos ítems.

6. Se presiona el botón Install para iniciar el proceso de instalación.

7. Como se mencionó anteriormente el instalador de Wireshark para Windows permite hacer la instalación de las librerías, plugins, servicios, etcétera. Particularmente para el caso de WinPcap se interrumpe la instalación en el punto que muestra la pantalla arriba e inicia el asistente para la instalación de WinPcap. Se debe seleccionar Next> hasta finalizar la instalación.

 

Análisis del tráfico

1. Ejecutamos Wireshark, vamos al apartado Capture y hacemos clic en Options.
2. En esta área seleccionamos la tarjeta de red a usar, podremos observar que se cuenta con la tarjeta de Ethernet y la tarjeta inalámbrica o WIFI.
3. Hacemos clic en Start para comenzar a capturar los datos que se encuentren en el tráfico de la red.
4. Comenzaremos a ver como los datos empiezan a aparecer en diferentes colores.

Cada línea representa un paquete, y hay 6 columnas que proporcionan información sobre él. 

• La primera columna No. indica un número por orden de llegada de los paquetes mientras esté en marcha la captura del tráfico. Esto es para darte una referencia e identificar fácilmente un determinado paquete.
• Time es el tiempo en segundos, hasta 6 decimales, de cuando se recibió el paquete después de que empezaras a registrar el tráfico de la red.
• Source incluye la dirección IP de origen del paquete.
• Destination indica la dirección IP destino de cada paquete.
• La columna Protocol indica qué protocolo utiliza cada paquete. Los más comunes son TCP, UDP y HTTP.
• Y la columna Info incluye información del paquete como si se tratase de una continuación de otro paquete, la verificación de que otro paquete se ha recibido, etcétera. 

Interfaz del usuario de Wireshark

Cuando se comienza a utilizar el analizador de paquetes de red Wireshark, uno de los aspectos que saltan a la vista de manera más inmediata es la distintiva interfaz gráfica, que si bien da un fácil y veloz acceso a las resultar es un tanto confusa la primera vez que se utiliza.

MENÚ PRINCIPAL 

Utilizado para iniciar las acciones y/o funciones de la aplicación.

Barra de menús

• File. Similar a otras aplicaciones GUI este contiene los ítems para manipular archivos y para cerrar la aplicación Wireshark.
• Edit. Este menú contiene ítems aplicar funciones a los paquetes, por ejemplo, buscar un paquetes especifico, aplicar una marca al paquete y configurar la interfaz de usuario.
• View. Permite configurar el despliegue
• Go. Contiene ítems que permiten el desplazamiento entre los paquetes.
• Capture. Inicia y detiene la captura de paquetes.
• Analyze. Contiene ítems que permite manipular los filtros, habilitar o deshabilitar protocolos, flujos de paquetes, etcétera.
• Statistics. Contiene ítems que permiten definir u obtener las estadísticas de la data capturada.
• Help. Menú de ayuda. 

Barra de herramientas

• Este es uno de los componentes de la interfaz del que más uso se hace durante una captura de paquetes, debido a que proporciona un acceso veloz a las funciones más comúnmente usadas.
• Un detalle que puede resultar abrumador cuando se hace uso de Wireshark por primera vez son los iconos de dicha barra, puesto que no se parecen a los usados en otras aplicaciones y se habilitan o deshabilitan durante la operación del programa, es por esto que cada icono se presentara a continuación indicando su función y en qué circunstancias se encuentra habilitado. 

Listar interfaces de red

Opciones de captura

Iniciar captura

Detener captura

Reiniciar captura de paquetes

Abrir un archivo de capturas

Guardar archivo de capturas

Cerrar archivo de captura

Recargar archivo de captura actual

Imprimir paquetes

Buscar un paquete

Ir hacia atrás

Ir hacia adelante

Ir al paquete con numero

Ir al primer paquete

Ir al ultimo paquete

Colorear lista de paquetes

Autocorrimiento

Acercamiento

Alejamiento

Escala normal

Redimensionar columnas

Editar filtro de captura

Aplicar un filtro a los paquetes capturados

Editar reglas de coloreado

Preferencias

Ayuda

Barra de filtros

Esta barra permite filtrar los paquetes ya capturados de manera rápida sus componentes son, de izquierda a derecha.

• Campo de filtro: En este campo de texto puede escribirse el filtro que se desea aplicar directamente.
• Expresión: abre el editor de expresiones para general un filtro.
• Aplicar: Aplica el filtro indicado por el campo de filtro.
• Limpiar: Elimina el filtro aplicado.

Barra de estado

Despliega información sobre la captura actual mostrando:

• El nombre del archivo actual.
• La cantidad de paquetes capturados.
• La cantidad de paquetes mostrados.
• El tiempo.
• El perfil de configuración. 

PANELES

1. Panel de paquetes capturados

En este panel se despliega la lista de paquetes capturados. Cada línea corresponde a un paquete capturado al seleccionar una de estas, ciertos detalles son desplegados en el resto de los paneles.

• No. Posición del paquete en la captura.
• Time. Muestra el Timestamp del paquete.
• Source. Dirección origen del paquete.
• Destination. Dirección destino del paquete.
• Protocol. Nombre del protocolo del paquete.
• Info. Información adicional del contenido del paquete.

2. Panel para detalles del paquete

Contiene el protocolo y los campos correspondientes del paquete previamente seleccionado en el panel de paquetes capturados. Seleccionando una de estas líneas con el botón secundario del Mouse se tiene opciones para ser aplicadas según las necesidades.

3. Panel de paquetes capturados en bytes

En este panel se despliega el contenido del paquete en formato hexadecimal.

De izquierda a derecha se muestra el offset del paquete, seguidamente se muestra la data del paquete y finalmente se muestra la información en caracteres ASCII si aplica o “.” en caso contrario. 

Glosario

IT.- Tecnología Informática.

GUI.- Interfaz Gráfica de Usuario (del inglés Graphical User Interface).

Timestamp.- Secuencia de caracteres, que denotan la hora y fecha en la cual ocurrió determinado evento.

Offset.- Dirección destino del paquete.

ASCII.- Es una sigla para "American Standard CodeforInformationInterchange" (Código Standard Norteamericano para Intercambio de Información), es un código numérico que representa los caracteres. 

Bibliografía

www.wireshark.com

http://byteschef.com/es/conceptos-basicos-de-captura-de-packets-con-wireshark/

http://tiburondealambre.blogspot.mx/2011/11/la-interfaz-de-wireshark.html