💡 Dieser Artikel wurde von AI-Assistenten übersetzt. Um die englische Version anzuzeigen, können Sie hier klicken
Im Bereich der Cybersicherheit ist die Fähigkeit, Netzwerkverkehrsdaten zu erfassen, zu analysieren und zu exportieren, entscheidend für das Verständnis und die Minderung von Sicherheitsbedrohungen. Dieses Tutorial führt Sie durch den Prozess der Verwendung der Wireshark Befehlszeilenschnittstelle (CLI), um Cybersicherheits-Netzwerkkaptungen zu speichern und zu exportieren. Dadurch erhalten Sie die notwendigen Fähigkeiten, um Ihre Cybersicherheits-Workflows zu verbessern.
Wireshark ist ein leistungsstarker Netzwerkprotokoll-Analyzer, der im Bereich der Cybersicherheit weit verbreitet ist. Während Wireshark eine grafische Benutzeroberfläche (GUI) für die Erfassung und Analyse von Netzwerkverkehr bietet, bietet es auch eine Befehlszeilenschnittstelle (CLI), bekannt als Wireshark CLI oder tshark.
Die Wireshark CLI, oder tshark, ist eine terminalbasierte Version des Wireshark Netzwerk-Analyzers. Sie ermöglicht es Ihnen, Netzwerkverkehr direkt über die Befehlszeile zu erfassen, zu filtern und zu analysieren, ohne eine grafische Oberfläche zu benötigen. Dies macht sie besonders nützlich für automatisierte Aufgaben, Skripte und Szenarien der Remote-Überwachung.
Scriptierbarkeit: Die CLI-Schnittstelle von Wireshark ermöglicht es Ihnen, Skripte zu schreiben und verschiedene Netzwerk-Analyseaufgaben zu automatisieren, was sie effizienter für repetitive oder groß angelegte Operationen macht.
Fernzugriff: Die Wireshark CLI kann verwendet werden, um Netzwerkverkehr auf entfernten Systemen zu erfassen und zu analysieren, sodass Sie Netzwerkprobleme von einem zentralen Ort aus beheben und untersuchen können.
Ressourceneffizienz: Die CLI-Version von Wireshark ist im Allgemeinen leichter und ressourceneffizienter im Vergleich zur GUI, was sie für Systeme mit begrenzten Ressourcen oder für lang laufende Erfassungs-Sessions geeignet macht.
Integration mit anderen Tools: Die Wireshark CLI lässt sich leicht in andere Befehlszeilentools und Skripte integrieren, sodass Sie umfassende Netzwerk-Analyse-Workflows erstellen können.
Um die Wireshark CLI zu verwenden, müssen Sie Wireshark auf Ihrem System installiert haben. Unter Ubuntu 22.04 können Sie Wireshark mit folgendem Befehl installieren:
sudo apt update
sudo apt-get install wiresharkNach der Installation können Sie die Wireshark CLI starten, indem Sie den Befehl tshark im Terminal ausführen.
tsharkDies startet die Wireshark CLI und zeigt die verfügbaren Optionen und Befehle an.
Eine der Hauptfunktionen der Wireshark CLI ist die Erfassung von Netzwerkverkehr. Dadurch können Sie den Datenfluss in Ihrem Netzwerk überwachen und analysieren, was für verschiedene Cybersicherheitsaufgaben unerlässlich ist, wie z. B. die Behebung von Netzwerkproblemen, die Erkennung von Sicherheitsbedrohungen und die Analyse von Netzwerkprotokollen.
Um Netzwerkverkehr mit der Wireshark CLI zu erfassen, müssen Sie die Netzwerk-Schnittstelle angeben, die Sie überwachen möchten. Sie können die verfügbaren Netzwerk-Schnittstellen auf Ihrem System mit folgendem Befehl auflisten:
tshark -DDies zeigt eine Liste aller Netzwerk-Schnittstellen an, von denen die Wireshark CLI erfassen kann.
Sobald Sie die gewünschte Netzwerk-Schnittstelle identifiziert haben, können Sie eine Erfassungs-Session mit folgendem Befehl starten:
tshark -i <interface>Ersetzen Sie <interface> durch den Namen der Netzwerk-Schnittstelle, die Sie erfassen möchten, z. B. eth0 oder wlan0.
Die Wireshark CLI ermöglicht es Ihnen, den erfassten Netzwerkverkehr anhand verschiedener Kriterien zu filtern, z. B. nach Protokoll, Quell- oder Ziel-IP-Adressen oder Portnummern. Sie können die Option -f verwenden, um einen Erfassungsfilter anzugeben. Um beispielsweise nur HTTP-Verkehr zu erfassen:
tshark -i "tcp port 80" < interface > -fDieser Befehl erfasst nur den Netzwerkverkehr auf Port 80, der typischerweise vom HTTP-Protokoll verwendet wird.
Zusätzlich zur Anzeige des erfassten Verkehrs im Terminal können Sie die Netzwerk-Erfassungen auch zur späteren Analyse in eine Datei speichern. Sie können die Option -w verwenden, um die Ausgabedatei anzugeben:
tshark -i capture.pcapng < interface > -wDies speichert den erfassten Netzwerkverkehr in einer Datei namens capture.pcapng im PCAPNG-Dateiformat, einem Standardformat für Netzwerk-Erfassungen.
Nachdem Sie Netzwerkverkehr mit der Wireshark CLI erfasst haben, möchten Sie die erfassten Daten möglicherweise zur späteren Analyse speichern oder mit anderen teilen. Die Wireshark CLI bietet verschiedene Optionen zum Speichern und Exportieren von Netzwerkerfassungen.
Wie bereits erwähnt, können Sie den erfassten Netzwerkverkehr mit der Option -w in eine Datei speichern:
tshark -i capture.pcapng < interface > -wDies speichert die erfassten Daten im PCAPNG-Dateiformat, einem Standardformat für Netzwerkerfassungen, das in Wireshark oder anderen Netzwerk-Analysetools geöffnet werden kann.
Neben dem PCAPNG-Format unterstützt die Wireshark CLI auch das Exportieren der erfassten Daten in anderen Formaten, wie z. B.:
Um die erfassten Daten in einem anderen Format zu exportieren, können Sie die Option -T gefolgt vom gewünschten Format verwenden. Um beispielsweise die erfassten Daten im CSV-Format zu exportieren:
tshark -i capture.csv -T fields -e frame.time -e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e tcp.len < interface > -wDieser Befehl speichert die erfassten Daten in einer CSV-Datei mit Spalten für Zeitstempel, Quell- und Ziel-IP-Adressen, Quell- und Zielports sowie die Länge der TCP-Pakete.
Die Wireshark CLI ermöglicht es Ihnen auch, die erfassten Daten zu filtern, bevor Sie sie exportieren. Dies kann nützlich sein, wenn Sie nur eine bestimmte Teilmenge des erfassten Verkehrs analysieren müssen. Sie können die Option -Y verwenden, um einen Anzeigefilter anzugeben, und die Option -w, um die gefilterten Daten in eine Datei zu speichern.
tshark -i "http" -w http_traffic.pcapng < interface > -YDieser Befehl erfasst und speichert nur den HTTP-Verkehr in einer Datei namens http_traffic.pcapng.
Durch die Nutzung der leistungsstarken Befehlszeilenfunktionen der Wireshark CLI können Sie den Prozess der Erfassung, Speicherung und des Exports von Netzwerkverkehrsdaten automatisieren, was sie zu einem wertvollen Werkzeug für Cybersicherheitsexperten und Netzwerkadministratoren macht.
Am Ende dieses Tutorials haben Sie gelernt, wie Sie die Wireshark CLI nutzen, um Netzwerkverkehrsdaten effektiv zu erfassen, zu speichern und zu exportieren, um sie für die Cybersicherheitsanalyse zu verwenden. Dieses Wissen ermöglicht es Ihnen, Ihre Cybersicherheitsworkflows zu optimieren und sicherzustellen, dass Sie über die notwendigen Daten verfügen, um sicherheitsbezogene Vorfälle zu identifizieren, zu untersuchen und zu beheben.
