Manejo de Archivos Grandes en Tshark

Introducción

En este laboratorio, aprenderá técnicas eficientes para procesar archivos grandes de captura de paquetes utilizando la herramienta de línea de comandos tshark de Wireshark. Practicará abrir archivos PCAP con -r, limitar los paquetes con -c, filtrar el tráfico utilizando -Y y exportar subconjuntos con -w.

A través de ejercicios prácticos, dominará el manejo de grandes conjuntos de datos aplicando límites de paquetes, filtros de protocolo y segmentación de archivos. Estas habilidades son esenciales para escenarios de resolución de problemas de red que requieran optimización de recursos y extracción precisa de datos.

Abrir archivo con -r large.pcap

En este paso, aprenderá cómo abrir y examinar un archivo de captura de paquetes (PCAP) utilizando la interfaz de línea de comandos de Wireshark llamada tshark. Los archivos PCAP contienen datos de tráfico de red capturados desde una interfaz de red. La opción -r significa "leer" y le indica a tshark qué archivo procesar.

Primero, necesitamos navegar al directorio que contiene nuestro archivo de captura de paquetes. En la terminal, ejecute:
```
cd ~/project
```
Esto cambia su directorio de trabajo al lugar donde se almacena el archivo large.pcap. Es importante estar en el directorio correcto para que tshark pueda encontrar el archivo.
Ahora abramos y mostremos el contenido de large.pcap utilizando:
```
tshark -r large.pcap
```
Este comando lee el archivo y muestra los datos de los paquetes en la terminal. Cada línea representa un paquete de red capturado.
La salida muestra varias columnas importantes de información para cada paquete:
- Número de paquete: El número de secuencia del paquete en la captura
- Marca de tiempo (Timestamp): Cuándo se capturó el paquete
- IP de origen y destino: De dónde viene el paquete y hacia dónde va
- Protocolo: El protocolo de red que se está utilizando (como TCP, UDP, HTTP)
- Longitud: El tamaño del paquete en bytes
- Información (Info): Detalles adicionales sobre lo que contiene el paquete
Dado que los archivos PCAP grandes pueden generar una gran cantidad de salida, puede facilitar su lectura redirigiéndola a less:
```
tshark -r large.pcap | less
```
Esto le permite desplazarse por la salida página por página utilizando las teclas de flecha. Presione q cuando desee salir del visor y volver al indicador de comando.

Limitar el procesamiento con -c 10000

En este paso, exploraremos cómo controlar la cantidad de datos procesados de archivos grandes de captura de paquetes. Cuando se trabaja en el análisis de redes, a menudo se encuentran archivos PCAP muy grandes que pueden contener millones de paquetes. Procesarlos todos a la vez puede ser lento y consumir muchos recursos. Aquí es donde la opción -c en tshark resulta valiosa.

La bandera -c le permite especificar exactamente cuántos paquetes desea procesar desde el inicio del archivo. Esto es especialmente útil cuando está probando su enfoque de análisis o cuando solo necesita examinar una muestra representativa del tráfico.

Primero, asegúremos de estar en el directorio de trabajo correcto donde se encuentra nuestro archivo de captura:
```
cd ~/project
```
Ahora procesaremos solo los primeros 10.000 paquetes de nuestro archivo large.pcap. La estructura del comando es simple: especifique el archivo de entrada con -r y el límite de cantidad de paquetes con -c:
```
tshark -r large.pcap -c 10000
```
Cuando el comando se complete, verá la confirmación de que se procesaron exactamente 10.000 paquetes. La salida indicará claramente:
```
10000 packets captured
```
Dado que incluso 10.000 paquetes pueden generar una salida considerable, podemos redirigir los resultados a less para una visualización más fácil. Esto le permite desplazarse por la salida página por página:
```
tshark -r large.pcap -c 10000 | less
```
Algunos escenarios prácticos en los que limitar el procesamiento de paquetes es beneficioso son:
- Analizar rápidamente archivos grandes sin esperar a que se complete el procesamiento completo.
- Verificar que la sintaxis de su filtro funcione correctamente antes de aplicarlo a todo el archivo.
- Ahorrar recursos del sistema cuando solo necesita una muestra del tráfico.
- Probar scripts de análisis en un conjunto de datos manejable antes de escalar.

Filtrar tráfico IP con -Y "ip"

En este paso, nos centraremos en filtrar el tráfico de red para mostrar solo paquetes IP utilizando la potente opción de filtro de visualización -Y de Tshark. Esto es especialmente útil cuando se trabaja con archivos de captura grandes y se necesita aislar rápidamente el tráfico de un protocolo específico.

Primero, naveguemos al directorio del proyecto donde se almacena nuestro archivo de captura. Esto asegura que estemos trabajando con el archivo correcto:
```
cd ~/project
```
Ahora usaremos el filtro -Y para mostrar solo el tráfico IP de nuestro archivo de captura. El siguiente comando lee el archivo 'large.pcap' y aplica nuestro filtro:
```
tshark -r large.pcap -Y "ip"
```
Después de ejecutar este comando, notará que la salida solo muestra los paquetes que cumplen con estos criterios:
- Utilizan los protocolos IPv4 o IPv6.
- Contienen encabezados IP adecuados en su estructura.
- Excluyen el tráfico no IP, como ARP (Protocolo de Resolución de Direcciones) o STP (Protocolo de Árbol Expandido).
Para manejar mejor archivos grandes, podemos combinar este filtro con otras opciones que hemos aprendido. Este ejemplo limita el procesamiento a 10.000 paquetes y redirige la salida a less para una visualización más fácil:
```
tshark -r large.pcap -c 10000 -Y "ip" | less
```
El filtro -Y utiliza la sintaxis de filtro de visualización de Wireshark, que ofrece muchas posibilidades, entre las cuales se incluyen:
- Filtrado basado en protocolos (ip, tcp, udp).
- Filtrado por dirección de origen/destino (ip.src, ip.dst).
- Filtrado por número de puerto (tcp.port, udp.port).

Guardar un subconjunto con -w small.pcap

En este paso, aprenderá cómo extraer y guardar una porción específica del tráfico de red de un archivo de captura grande. Esto es especialmente útil cuando se trabaja con archivos PCAP masivos que serían demasiado costosos en términos de recursos analizar en su totalidad.

Primero, navegue al directorio del proyecto donde se almacenan sus archivos de captura. Esto asegura que todas las operaciones de archivos se realicen en la ubicación correcta:
```
cd ~/project
```
El siguiente comando demuestra cómo combinar múltiples funciones de Tshark para crear un archivo de subconjunto manejable. Aquí estamos leyendo desde 'large.pcap', pero solo conservando los primeros 10.000 paquetes IP:
```
tshark -r large.pcap -c 10000 -Y "ip" -w small.pcap
```
Desglosando esto:
- -r large.pcap especifica el archivo de entrada.
- -c 10000 limita el procesamiento a los primeros 10.000 paquetes.
- -Y "ip" aplica un filtro de visualización para incluir solo el tráfico IP.
- -w small.pcap escribe los resultados filtrados en un nuevo archivo.
Después de ejecutar el comando, verifique que el archivo de salida se haya creado correctamente. El comando ls con las banderas -lh muestra el tamaño del archivo en un formato legible por humanos (como KB/MB) junto con otros detalles:
```
ls -lh small.pcap
```
Ahora puede trabajar con este archivo filtrado y más pequeño de manera más eficiente. Para ver su contenido, redirija la salida a less, que permite desplazarse por los paquetes:
```
tshark -r small.pcap | less
```
Esto es mucho más rápido que procesar el archivo grande original, y solo contiene el tráfico IP que especificó.

Resumen

En este laboratorio, has aprendido técnicas clave para procesar de manera eficiente archivos grandes de captura de paquetes utilizando la herramienta de línea de comandos tshark de Wireshark. Practicaste abrir archivos con -r, limitar la cantidad de paquetes a través de -c, aplicar filtros de visualización con -Y y exportar subconjuntos utilizando -w para manejar eficazmente grandes conjuntos de datos.

Los ejercicios demostraron habilidades prácticas para el análisis basado en terminal, incluyendo la navegación de la salida con less y la extracción de paquetes específicos. Estas capacidades son esenciales para los profesionales de redes que trabajan con capturas de tráfico voluminosas mientras optimizan el uso de los recursos del sistema.