이 랩에서는 Wireshark 캡처 필터를 활용하여 특정 기준에 따라 네트워크 트래픽을 선택적으로 캡처하는 방법을 배우게 됩니다. 캡처 필터는 관련 데이터에 집중하고 관련 없는 트래픽을 제거하여 분석 효율성을 높이는 강력한 도구입니다.
다양한 캡처 필터 표현식을 살펴보고 실제 시나리오에 적용해 볼 것입니다. 이러한 실습 경험을 통해 네트워크 문제 해결 및 보안 분석 기술을 향상시킬 수 있습니다.
네트워크 분석 세계에서 방대한 양의 데이터를 처리하는 것은 압도적일 수 있습니다. 이때 Wireshark 의 캡처 필터가 유용합니다. 캡처 필터를 사용하면 특정 기준에 맞는 패킷만 수집할 수 있습니다. 이는 분석해야 하는 데이터의 양을 크게 줄여줍니다. 캡처 필터는 디스플레이 필터와 다르다는 점에 유의해야 합니다. 디스플레이 필터는 이미 캡처된 패킷을 필터링하는 데 사용되는 반면, 캡처 필터는 패킷 캡처 프로세스 중에 작동합니다.
캡처 필터는 Berkeley Packet Filter (BPF) 구문을 사용합니다. BPF 는 Wireshark 와 같은 애플리케이션에서 처리하기 전에 네트워크 패킷을 필터링하도록 설계된 특수 언어입니다. 이러한 필터를 적용하면 다음과 같은 몇 가지 중요한 목표를 달성할 수 있습니다.
Wireshark 의 캡처 필터는 libpcap 필터 언어를 기반으로 하는 특정 구문을 사용합니다. 몇 가지 일반적인 요소를 살펴보겠습니다.
host: 이 요소는 IP 주소 또는 호스트 이름을 기반으로 트래픽을 필터링합니다. 예를 들어, host 192.168.0.2 필터를 사용하면 Wireshark 는 지정된 IP 주소로 또는 해당 IP 주소에서 전송되는 모든 트래픽을 캡처합니다.net: 네트워크 주소 및 서브넷 마스크를 기반으로 트래픽을 필터링합니다. 예를 들어, net 10.0.0.0/24 필터는 10.0.0.0/24 네트워크의 트래픽을 캡처합니다.port: 포트 번호를 기반으로 트래픽을 필터링합니다. 예를 들어, port 80은 HTTP 트래픽을 캡처하는 데 사용됩니다. HTTP 는 일반적으로 포트 80 을 사용하기 때문입니다.protocol: 프로토콜을 기반으로 트래픽을 필터링합니다. 예를 들어, tcp는 모든 TCP 트래픽을 캡처하고, udp는 모든 UDP 트래픽을 캡처합니다.논리 연산자를 사용하여 이러한 요소를 결합할 수 있습니다.
and 또는 &&: 이 연산자를 사용하면 패킷을 캡처하려면 두 조건이 모두 true 여야 합니다.or 또는 ||: 이 연산자를 사용하면 패킷을 캡처하려면 조건 중 하나라도 true 여야 합니다.not 또는 !: 이 연산자는 조건을 부정합니다. 따라서 not tcp를 사용하면 TCP 가 아닌 모든 트래픽이 캡처됩니다.이제 배운 내용을 실습해 보겠습니다. 다음 단계에 따라 Wireshark 를 열고 기본 캡처 필터를 적용합니다.
먼저 터미널을 열어야 합니다. 데스크톱 작업 표시줄에서 터미널 아이콘을 클릭하거나 Ctrl+Alt+T를 눌러 이 작업을 수행할 수 있습니다.
터미널이 열리면 다음 명령을 입력하여 Wireshark 를 시작합니다.
wiresharkWireshark 가 열리면 기본 시작 화면이 표시됩니다. 이 화면에는 시스템에서 사용 가능한 모든 네트워크 인터페이스가 표시됩니다.
Wireshark 창 상단에서 "Capture Filter:" 입력 필드를 찾습니다. 여기에 캡처 필터를 입력합니다.
필터 상자에 tcp를 입력합니다. 이렇게 하면 Wireshark 가 TCP 패킷만 캡처하도록 지시하는 것입니다.
인터페이스 목록에서 any로 레이블이 지정된 인터페이스를 선택합니다. any를 선택하면 Wireshark 가 모든 네트워크 인터페이스에서 패킷을 캡처합니다.
파란색 상어 지느러미 Start 버튼을 클릭합니다. 이렇게 하면 적용한 필터로 패킷 캡처 프로세스가 시작됩니다.
Wireshark 를 약 10~15 초 동안 실행합니다. 이 시간 동안 일부 TCP 패킷을 캡처합니다. 주 창에 패킷이 나타나는 것을 볼 수 있습니다.
캡처를 중지하려면 도구 모음에서 빨간색 사각형 Stop 버튼을 클릭합니다.
이제 캡처된 패킷을 나중에 분석할 수 있도록 저장하려고 합니다. 메뉴 모음에서 File > Save As를 클릭합니다.
파일 저장 대화 상자에서 /home/labex/project 디렉토리로 이동합니다.
파일 이름으로 step1.pcapng를 입력하고 Save를 클릭합니다.
이제 기본 캡처 필터를 성공적으로 적용하여 TCP 패킷만 수집하고 나중에 분석할 수 있도록 결과를 저장했습니다.
이 단계에서는 특정 네트워크 트래픽 캡처에 집중합니다. 특히, 포트 80 에서 HTTP 트래픽을 캡처하기 위해 더 구체적인 캡처 필터를 적용하는 방법을 배우게 됩니다. 포트 80 의 HTTP 트래픽은 암호화되지 않은 웹 통신에 사용되기 때문에 인터넷에서 매우 일반적입니다. 필터를 설정한 후, 스크립트를 사용하여 테스트 트래픽을 생성합니다. 이를 통해 실제 시나리오에서 필터가 어떻게 작동하는지 확인할 수 있습니다.
먼저 포트 80 에 대한 필터로 새 캡처를 설정해 보겠습니다. 새 캡처를 시작하기 전에 이전 캡처가 열려 있지 않은지 확인해야 합니다.
이전 캡처가 아직 열려 있다면, File > Close를 클릭하거나 패킷 목록의 오른쪽 상단에 있는 Close this capture file 버튼 (X) 을 클릭하여 닫으십시오. 여러 캡처를 열어두면 혼란을 야기하고 새 캡처의 정확성에 영향을 줄 수 있으므로 이 단계는 중요합니다.
이전 캡처를 닫으면 Wireshark 환영 화면에 사용 가능한 인터페이스가 표시됩니다. 이 화면에서 새 캡처 구성을 시작합니다.
이번에는 캡처 필터를 설정하기 위해 더 상세한 방법을 사용하겠습니다. Capture Options 버튼을 클릭하거나 (또는 메뉴에서 Capture > Options로 이동) 하십시오. Capture Options 대화 상자는 캡처 필터 설정과 같이 Wireshark 가 패킷을 캡처하는 방법에 대한 더 많은 제어를 제공합니다.
Capture Options 대화 상자에서 인터페이스 목록과 하단에 있는 Capture Filter 입력란을 볼 수 있습니다. 인터페이스는 시스템에서 사용 가능한 네트워크 연결을 나타내며, Capture Filter란은 캡처하려는 패킷의 조건을 지정하는 곳입니다.
Capture Filter란을 클릭하고 필터 tcp port 80을 입력하십시오. 이 필터는 포트 80 을 사용하는 TCP 트래픽만 캡처합니다. tcp port 80을 지정함으로써 port 80만 사용하는 것보다 더 구체적으로 지정하는 것입니다. 즉, Wireshark 에 해당 포트의 HTTP 트래픽과 관련된 TCP 패킷만 캡처하고, 포트 80 을 사용할 수 있는 UDP 트래픽은 제외하도록 지시하는 것입니다. HTTP 는 일반적으로 TCP 를 전송 프로토콜로 사용하므로 HTTP 트래픽 분석에 더 정확합니다.
또는 Capture Filter: 버튼을 클릭하여 저장된 필터 북마크에서 선택할 수도 있습니다. 자주 사용하는 필터 세트가 있는 경우 유용할 수 있습니다.
필터 선택 대화 상자에서 미리 정의된 필터를 선택하거나 새 필터를 만들 수 있습니다. 지금은 필터란에 port 80을 직접 입력하십시오. 이를 통해 우리가 관심 있는 특정 트래픽을 캡처하고 있는지 확인할 수 있습니다.
any 인터페이스가 선택되었는지 확인하고 Start 버튼을 클릭하여 필터와 일치하는 패킷 캡처를 시작하십시오. any를 선택하는 것은 Wireshark 가 사용 가능한 모든 네트워크 인터페이스에서 패킷을 캡처한다는 것을 의미합니다.
이제 Wireshark 가 포트 80 에서 트래픽을 캡처하고 있으므로, 필터가 작동하는 것을 보기 위해 테스트 트래픽을 생성해 보겠습니다. 이를 통해 필터가 예상대로 작동하는지 확인할 수 있습니다.
작업 표시줄의 터미널 아이콘을 클릭하거나 Ctrl+Alt+T를 눌러 새 터미널 창을 여십시오. 터미널은 테스트 트래픽을 생성하는 명령을 실행하는 곳입니다.
새 터미널에서 프로젝트 디렉토리로 이동합니다.
cd /home/labex/project이 명령은 트래픽 생성 스크립트가 있는 프로젝트 디렉토리로 현재 작업 디렉토리를 변경합니다.
미리 생성된 스크립트를 실행하여 시뮬레이션된 HTTP 트래픽을 생성합니다.
./simulate_traffic.sh이 스크립트는 포트 80 에서 수신 대기하는 간단한 서버를 생성하고 일부 데이터를 전송하여 실제 HTTP 트래픽을 시뮬레이션하도록 설계되었습니다.
다음과 유사한 출력을 볼 수 있습니다.
Netcat server listening on port 80...
Sending data to port 80...
Please check the Wireshark output for the data sent to port 80.이 출력은 스크립트가 올바르게 작동하고 포트 80 으로 데이터가 전송되고 있음을 나타냅니다.
이 스크립트는 포트 80 에서 수신 대기하는 간단한 서버를 생성하고 "Hello, Wireshark!"라는 짧은 메시지를 전송합니다. 필터가 올바르게 작동하면 이 메시지가 Wireshark 에 의해 캡처됩니다.
Wireshark 창으로 돌아갑니다. 스크립트에서 생성된 패킷을 볼 수 있어야 합니다. 이 패킷은 방금 생성한 테스트 트래픽의 결과입니다.
이 패킷들은 포트 80 에서의 통신을 보여주어야 하며, 이는 캡처 필터와 일치합니다. 이는 필터가 예상대로 작동함을 확인합니다.
패킷 목록에서 최소 3 개의 패킷을 볼 수 있어야 합니다.
패킷 중 하나를 클릭하여 중간 창에서 세부 정보를 확인하십시오. 화살표 아이콘을 클릭하여 섹션을 확장할 수 있습니다. 이를 통해 헤더 및 데이터와 같은 패킷의 다양한 부분을 볼 수 있습니다.
이제 도구 모음에서 빨간색 사각형 Stop 버튼을 클릭하여 캡처를 중지하십시오. 새 패킷이 추가되는 것을 방지하고 캡처된 패킷을 분석할 수 있도록 캡처를 중지하는 것이 중요합니다.
메뉴 표시줄에서 File > Save As를 클릭하여 캡처된 패킷을 저장하십시오. 패킷을 저장하면 나중에 추가 분석을 위해 다시 참조할 수 있습니다.
파일 저장 대화 상자에서 /home/labex/project 디렉토리로 이동하십시오. 이 디렉토리에 캡처된 패킷을 저장하려고 합니다.
파일 이름으로 step2.pcapng를 입력하고 Save를 클릭하십시오. .pcapng 파일 형식은 네트워크 패킷 캡처를 저장하는 일반적인 형식입니다.
포트 80 의 트래픽만 수집하도록 특정 캡처 필터를 성공적으로 적용했으며 이 필터와 일치하는 실제 트래픽을 관찰했습니다.
이 단계에서는 이미 캡처한 트래픽을 분석하기 위해 디스플레이 필터를 사용하는 방법을 배우게 됩니다. 시작하기 전에 캡처 필터와 디스플레이 필터의 차이점을 이해하는 것이 중요합니다. 캡처 필터는 처음에 어떤 트래픽을 수집할지 결정하는 데 사용됩니다. 반면에 디스플레이 필터를 사용하면 이미 캡처된 패킷의 특정 부분에 집중할 수 있습니다. 캡처된 데이터에 대한 돋보기와 같아서 관심 있는 세부 사항에 집중하는 데 도움이 됩니다.
캡처 필터와 디스플레이 필터의 차이점을 자세히 살펴보겠습니다.
이제 이전에 캡처한 패킷이 포함된 파일을 열어 보겠습니다.
File > Open을 클릭합니다. 이는 많은 소프트웨어 애플리케이션에서 파일에 액세스하는 일반적인 방법입니다./home/labex/project 디렉토리로 이동합니다. 캡처된 파일이 저장된 위치입니다.step2.pcapng 파일을 선택하고 Open을 클릭합니다. .pcapng 파일 형식은 네트워크 패킷 데이터를 저장하는 데 일반적으로 사용됩니다.다음으로, 캡처된 패킷에 디스플레이 필터를 적용합니다.
Wireshark 창 상단에서 디스플레이 필터 도구 모음을 찾습니다. 이는 이전에 사용한 캡처 필터와 다릅니다. 활성화되면 밝은 녹색 배경을 갖습니다. 디스플레이 필터 도구 모음은 특정 패킷을 표시하기 위해 필터 식을 입력하는 곳입니다.
디스플레이 필드에 tcp를 입력하고 Enter 키를 누르거나 오른쪽 화살표 버튼을 클릭합니다. tcp를 입력하면 Wireshark 에 TCP 프로토콜을 사용하는 패킷만 표시하도록 지시하는 것입니다. 이렇게 하면 디스플레이에 TCP 패킷만 표시되고 다른 프로토콜 패킷이 있으면 필터링됩니다.
새 캡처 없이 디스플레이에서 패킷이 즉시 필터링되는 방식을 확인합니다. 이것이 디스플레이 필터를 사용하는 것의 장점 중 하나입니다. 트래픽을 다시 캡처하지 않고도 캡처된 데이터의 다른 측면을 빠르게 분석할 수 있습니다.
이제 더 구체적인 디스플레이 필터를 사용해 보겠습니다. 필터 막대의 오른쪽에 있는 X 버튼을 클릭하여 현재 필터를 지웁니다. 이렇게 하면 이전 필터가 제거되고 캡처된 모든 패킷이 다시 표시됩니다.
"Wireshark"라는 단어가 포함된 패킷을 표시하려면 다음 필터를 입력합니다.
frame contains "Wireshark"이 필터는 패킷의 프레임 데이터에서 "Wireshark"라는 단어를 검색합니다.
Enter 키를 누르거나 오른쪽 화살표를 클릭하여 필터를 적용합니다.
이제 "Wireshark" 텍스트가 포함된 패킷만 표시됩니다. 즉, "Hello, Wireshark!" 메시지가 포함된 패킷이 하나 또는 두 개만 표시될 것입니다. 이는 디스플레이 필터를 사용하여 캡처된 패킷 내에서 특정 정보를 찾는 방법을 보여줍니다.
패킷 목록에서 이러한 패킷 중 하나를 클릭하면 중간 창에서 세부 정보를 볼 수 있습니다. "Data" 섹션을 찾아 "Hello, Wireshark!" 텍스트가 표시되는지 확인합니다. 이를 통해 패킷의 내용을 자세히 검사할 수 있습니다.
이제 디스플레이 필터를 사용하여 트래픽을 분석했으므로 찾은 내용을 문서화하는 간단한 보고서를 만들어 보겠습니다.
frame contains "Wireshark" 필터와 일치하는 패킷 수를 계산합니다. 숫자는 Wireshark 창 하단의 상태 표시줄에 "Displayed: X of Y packets"와 같이 표시되어야 합니다. 이 숫자는 "Wireshark"라는 단어가 포함된 패킷 수를 나타냅니다.
작업 표시줄에서 터미널 아이콘을 클릭하거나 Ctrl+Alt+T를 눌러 터미널 창을 엽니다. 터미널은 컴퓨터에서 명령을 실행할 수 있는 강력한 도구입니다.
터미널에서 패킷 수 정보가 포함된 보고서 파일을 만듭니다.
echo "Number of packets matching the filter expression: 1" > /home/labex/project/report.txt참고: 위의 명령에서 1을 필터와 일치하는 실제 패킷 수로 바꿉니다. 이 숫자는 스크립트가 실행된 방식에 따라 다를 수 있습니다.
이제 디스플레이 필터를 성공적으로 적용하여 캡처된 네트워크 트래픽을 분석하고 보고서 파일에 결과를 문서화했습니다.
이 Lab 에서는 Wireshark 캡처 필터를 사용하여 특정 기준에 따라 네트워크 트래픽을 선택적으로 캡처하고 분석하는 방법을 배웠습니다. Berkeley Packet Filter (BPF) 언어를 기반으로 하는 캡처 필터의 기본 구문을 이해하고, 실시간 캡처 중에 이를 적용하고, 캡처 필터와 디스플레이 필터를 구별하는 것과 같은 핵심 기술을 연습했습니다.
이러한 기술은 네트워크 문제 또는 보안 사고를 처리하는 네트워크 관리자, 보안 분석가 및 IT 전문가에게 매우 중요합니다. 캡처 필터를 마스터하면 관련 트래픽에 집중하여 보다 효율적인 네트워크 분석이 가능합니다. 네트워크 분석을 진행하면서 이러한 기술을 기반으로 복잡한 환경에서 정교한 트래픽 선택을 위한 복잡한 필터를 만들 수 있습니다.
