Tshark 프로토콜 분석 과정은 패킷 캡처를 읽을 수 있는 대화와 구조화된 증거로 바꾸는 프로토콜 인식 명령줄 워크플로를 다룹니다. 3개의 안내형 실습에서 캡처, display filter, TCP 스트림 재구성, 필드 추출, CSV를 배우고 마지막 도전에서 준비된 PCAP의 C2 활동을 식별합니다.
격리된 Ubuntu 22.04 VM에서 로컬 트래픽과 준비된 캡처를 사용합니다. 패킷 요약을 수동으로 훑는 대신 디코딩된 HTTP/DNS 필드를 질의하고 분석 산출물을 보존하며 셸이나 후속 시스템이 사용할 출력을 만듭니다.
학습 내용
- Tshark로 트래픽 캡처와 PCAP 증거 저장, 수집과 오프라인 분석 구분
- 프로토콜 인식 display filter로 HTTP, DNS, IP, 요청 트래픽 격리
- 프로토콜 계층 통계로 캡처 구성 평가
- TCP 스트림 인덱스 식별과 전체 HTTP 요청-응답 대화 재구성
- 재구성 스트림을 텍스트 증거로 저장하고 GET·POST 활동 해석
- frame, IP, DNS, HTTP URI, host, User-Agent 필드를 깔끔한 CSV 형식으로 추출
- DNS 질의를 중복 제거하고 의심 도메인과 다운로드 URI를 격리하는 위협 헌팅 자동화
추천 대상
기본 패킷을 이해하고 원시 캡처 요약보다 풍부한 프로토콜 분석을 원하는 SOC 학습자, 보안 분석가, 네트워크 조사자, Linux 사용자에게 적합합니다. tcpdump 입문 다음에 자연스럽지만 동등한 경험이면 충분합니다.
선수 지식: 기본 Linux 셸 파이프라인과 리디렉션, IP, TCP 스트림, DNS, HTTP, 포트, PCAP에 대한 이해가 필요합니다. Tshark 또는 Wireshark 경험은 필요하지 않습니다.
학습 환경: 브라우저 Ubuntu 22.04 VM에서 독립적으로 실행되는 4개 활동으로, 3개 안내형 실습과 1개 도전입니다. Tshark, 로컬 DNS/HTTP 트래픽, 샘플 캡처, 준비된 의심 PCAP이 제공되며 Wireshark 데스크톱 GUI는 사용하지 않습니다.
자주 묻는 질문
tcpdump 패킷 분석 과정과 무엇이 다른가요?
tcpdump 과정은 인터페이스, BPF, 원시 페이로드, PCAP에 중점을 둡니다. 이 과정은 Tshark의 Wireshark dissector와 display filter로 필드 질의, TCP 대화 추적, 통계, 구조화된 내보내기를 수행합니다.
Wireshark 그래픽 애플리케이션이 필요한가요?
아닙니다. 모든 분석은 터미널의 Tshark로 진행합니다. Wireshark 프로토콜 디코딩 엔진은 사용하지만 데스크톱 GUI는 필요하지도, 학습하지도 않습니다.
도전에서 실제 악성코드를 분석하거나 실제 C2에 접속하나요?
아닙니다. 모의 DNS/HTTP 증거가 든 준비된 suspicious_traffic.pcap을 읽습니다. 악성코드를 실행하거나 외부 C2 시스템과 통신하지 않습니다.
HTTPS나 다른 암호화 세션을 복호화하나요?
아닙니다. 디코딩된 메타데이터와 의도적으로 읽을 수 있는 DNS/HTTP 트래픽을 검사합니다. 세션 키나 TLS 복호화를 다루지 않으므로 암호화 페이로드는 범위 밖입니다.
