소개
이 랩에서는 강력한 네트워크 프로토콜 분석기인 Wireshark 에서 패킷을 내보내는 방법을 배우게 됩니다. 패킷 내보내기는 네트워크 분석, 문제 해결 및 보안 조사에 매우 중요합니다. 또한 캡처된 데이터를 동료와 공유할 수 있게 해줍니다.
이 랩을 통해 네트워크 트래픽을 캡처하고, 특정 통신 유형을 대상으로 필터를 적용하며, 추가 분석을 위해 캡처된 데이터를 다양한 형식으로 내보내는 방법을 배우게 됩니다.
Wireshark 이해 및 설치
Wireshark 는 세계에서 가장 널리 사용되는 네트워크 프로토콜 분석기 중 하나입니다. 컴퓨터 네트워크에서 통신은 패킷이라는 작은 단위로 이루어집니다. 패킷을 네트워크를 통해 데이터를 전달하는 작은 봉투라고 생각하면 됩니다. Wireshark 를 사용하면 이러한 패킷을 캡처하고 분석하여 네트워크에서 무슨 일이 일어나고 있는지 매우 상세한 수준으로 확인할 수 있습니다. 마치 네트워크를 위한 현미경을 가지고 있는 것처럼 데이터가 어떻게 흐르고 있는지, 문제가 있는지 이해하는 데 도움이 됩니다.
Wireshark 실행하기
먼저 Wireshark 를 열어야 합니다. 이를 위해 터미널 창을 열고 시작합니다. 터미널은 컴퓨터와 상호 작용하기 위해 명령을 입력할 수 있는 텍스트 기반 인터페이스입니다. 작업 표시줄에 있는 터미널 아이콘을 클릭하여 터미널 창을 열 수 있습니다. 작업 표시줄은 일반적으로 화면 하단이나 측면에 있으며 다양한 애플리케이션 아이콘이 포함되어 있습니다.
터미널이 열리면 명령을 사용하여 Wireshark 를 실행합니다. 터미널에 다음 명령을 입력하고 Enter 키를 누릅니다.
wireshark
이 명령을 실행하면 Wireshark 애플리케이션이 열립니다. 사용 가능한 네트워크 인터페이스 목록이 표시됩니다. 네트워크 인터페이스는 컴퓨터가 Wi-Fi 또는 이더넷과 같이 네트워크의 다른 장치와 통신하는 데 사용하는 연결입니다.

Wireshark 가 열리면 잠시 인터페이스를 둘러보세요. 레이아웃을 이해하면 나중에 도구를 더 쉽게 사용할 수 있습니다.
- 상단 섹션에는 사용 가능한 네트워크 인터페이스가 표시됩니다. 이곳에서 Wireshark 가 패킷을 캡처할 네트워크 연결을 선택하게 됩니다.
- 중간 섹션에는 최근에 열린 파일이 표시됩니다. 이전에 Wireshark 를 사용하고 패킷 캡처 파일을 열었다면 쉽게 액세스할 수 있도록 여기에 나열됩니다.
- 하단 섹션에는 유용한 링크와 기능이 포함되어 있습니다. 도움말을 얻거나 추가 도구에 액세스하는 등 다양한 작업에 도움이 될 수 있습니다.
Wireshark 인터페이스 이해하기
패킷 캡처를 시작하기 전에 Wireshark 인터페이스의 각 부분이 무엇을 하는지 아는 것이 중요합니다. 이 지식은 도구를 효과적으로 탐색하고 필요한 정보를 찾는 데 도움이 될 것입니다.
- 메뉴 모음 (Menu Bar): 다른 애플리케이션과 마찬가지로 메뉴 모음에는 파일, 편집, 보기 등 일반적인 애플리케이션 메뉴가 포함되어 있습니다. 이러한 메뉴를 사용하여 새 파일 열기, 캡처 저장 또는 보기 설정 변경과 같은 일반적인 작업을 수행할 수 있습니다.
- 주 도구 모음 (Main Toolbar): 주 도구 모음에는 일반적인 기능에 대한 바로 가기가 있습니다. 이러한 바로 가기를 사용하면 패킷 캡처 시작 또는 중지와 같이 자주 사용하는 작업을 더 빠르게 수행할 수 있습니다.
- 필터 모음 (Filter Bar): 필터 모음은 매우 유용합니다. 캡처된 패킷에 디스플레이 필터를 적용할 수 있습니다. 즉, 소스 또는 대상 IP 주소와 같은 특정 기준에 따라 보이는 패킷을 좁힐 수 있습니다.
- 패킷 목록 창 (Packet List Pane): 이 창에는 캡처된 각 패킷이 별도의 줄에 표시됩니다. 캡처된 모든 패킷에 대한 빠른 개요를 제공합니다.
- 패킷 상세 정보 창 (Packet Details Pane): 패킷 목록 창에서 패킷을 선택하면 패킷 상세 정보 창에 해당 패킷에 대한 자세한 정보가 표시됩니다. 여기에는 사용된 프로토콜, 소스 및 대상 주소 및 기타 관련 데이터와 같은 내용이 포함됩니다.
- 패킷 바이트 창 (Packet Bytes Pane): 이 창에는 선택한 패킷의 원시 바이트가 표시됩니다. 패킷에서 전송되는 실제 데이터를 보고 싶을 때 유용합니다.
이제 Wireshark 인터페이스의 기본 사항을 이해했으므로 네트워크 트래픽 캡처를 시작할 준비가 되었습니다.
네트워크 트래픽 캡처
이 단계에서는 Wireshark 의 기본적인 기능인 네트워크 패킷을 캡처하는 방법을 배우게 됩니다. 패킷 캡처는 시스템에서 발생하는 모든 네트워크 통신을 볼 수 있게 해주는 탐정의 도구와 같습니다. 네트워크 문제를 해결하거나 잠재적인 보안 위협을 분석하는 등 다양한 목적으로 장치 안팎으로 흐르는 데이터를 명확하게 볼 수 있으므로 필수적입니다.
패킷 캡처 시작
Wireshark 메인 인터페이스에서 사용 가능한 네트워크 인터페이스 목록을 확인할 수 있습니다. 이러한 인터페이스는 장치가 네트워크에 연결할 수 있는 다양한 문과 같습니다. 각 인터페이스는 Wi-Fi, 이더넷 또는 가상 네트워크 연결과 같이 장치가 데이터를 보내고 받을 수 있는 다른 방법을 나타냅니다. 패킷을 캡처하기 위해 적절한 인터페이스를 선택하려면 이 목록을 확인하십시오.
eth1인터페이스를 클릭하여 선택합니다. 이것은 주 이더넷 연결입니다. 이더넷은 물리적 케이블을 사용하여 장치를 로컬 네트워크에 연결하는 일반적인 방법입니다.eth1을 선택하면 이 특정 이더넷 연결을 통해 전송되는 네트워크 트래픽을 캡처하도록 선택하는 것입니다.
툴바에서 파란색 상어 지느러미 아이콘을 클릭하여 패킷 캡처를 시작합니다. 이 아이콘은 Wireshark 에서 패킷 캡처를 시작하는 버튼입니다. 또는
eth1인터페이스를 두 번 클릭할 수 있습니다. 캡처를 시작하면 Wireshark 는 선택한 인터페이스를 통과하는 모든 네트워크 패킷을 수집하기 시작합니다.이제 패킷이 캡처되어 실시간으로 표시되는 것을 볼 수 있습니다. 각 줄은 단일 패킷을 나타냅니다. 패킷 세부 정보는 다음과 같습니다.
- 패킷 번호: 각 패킷에 대한 고유 식별자이며, 패킷이 캡처된 순서를 추적하는 데 도움이 됩니다.
- 캡처가 시작된 이후의 시간: 이 특정 패킷이 캡처된 시점부터 패킷 캡처를 시작한 이후 경과된 시간을 보여줍니다.
- 소스 주소: 패킷을 보낸 장치의 주소입니다. 데이터가 어디에서 오는지 식별하는 데 도움이 됩니다.
- 대상 주소: 패킷이 전송될 장치의 주소입니다. 데이터가 어디로 가는지 보여줍니다.
- 프로토콜: 프로토콜은 통신에 사용되는 규칙 및 표준을 나타냅니다. 예를 들어 TCP, UDP 또는 HTTP 는 일반적인 프로토콜입니다.
- 패킷 길이: 패킷에 포함된 데이터의 양을 알려줍니다.
- 패킷 정보: 패킷의 내용 및 목적에 대한 자세한 정보를 제공합니다.
네트워크 트래픽 생성
더 흥미로운 트래픽을 보려면 웹사이트를 방문하여 HTTP 트래픽을 생성해 보겠습니다. HTTP (Hypertext Transfer Protocol) 는 인터넷을 통해 웹 페이지를 전송하는 데 사용되는 프로토콜입니다. HTTP 트래픽을 생성하면 웹사이트를 방문할 때 발생하는 실제 데이터 교환을 볼 수 있습니다.
Wireshark 를 실행한 상태에서
Ctrl+Alt+T를 눌러 새 터미널을 엽니다. 터미널은 시스템과 상호 작용하기 위해 명령을 입력할 수 있는 명령줄 인터페이스입니다.curl명령을 사용하여 웹 페이지를 요청합니다.curl www.google.comcurl명령은 서버에서 또는 서버로 데이터를 전송하는 데 사용되는 도구입니다. 이 경우 Google 의 웹 페이지를 요청하는 데 사용하고 있습니다. 터미널 출력에서 Google 홈페이지의 HTML 콘텐츠를 볼 수 있습니다. 이는 요청이 성공했고 Google 서버에서 데이터를 받았음을 보여줍니다.Wireshark 로 돌아가 캡처된 새 패킷을 관찰합니다. Google 에 대한 요청과 관련된 DNS, TCP 및 HTTP 패킷을 볼 수 있습니다. DNS (Domain Name System) 는
www.google.com과 같은 도메인 이름을 IP 주소로 변환하는 데 사용됩니다. TCP (Transmission Control Protocol) 는 장치와 서버 간의 안정적인 연결을 설정하는 역할을 합니다. HTTP 는 실제 웹 페이지 데이터를 전송하는 데 사용됩니다.
캡처 중지 및 데이터 저장
패킷 캡처를 중지하려면 툴바에서 빨간색 사각형 중지 버튼을 클릭합니다. 이렇게 하면 새 패킷 수집 프로세스가 중지됩니다.
이제 일부 패킷을 캡처했으므로 파일을 저장합니다.
- 메뉴 모음에서
File을 클릭합니다. 메뉴 모음에는 파일 열기, 저장 및 내보내기와 같은 Wireshark 세션을 관리하기 위한 다양한 옵션이 포함되어 있습니다. Save As를 선택합니다. 이 옵션을 사용하면 캡처된 패킷을 저장할 파일의 위치와 이름을 선택할 수 있습니다./home/labex/project디렉토리로 이동합니다. 이 위치는 캡처된 패킷 데이터를 저장할 위치입니다.- 파일 이름으로
capture.pcapng를 입력합니다..pcapng확장자는 파일이 네트워크 패킷 데이터를 저장하기 위한 표준 형식인 PCAPNG 형식임을 나타냅니다. Save를 클릭합니다.

- 메뉴 모음에서
이제 파일이 저장되었습니다. PCAPNG 형식은 모든 캡처 데이터를 보존하며 Wireshark 의 기본 형식입니다. 즉, 소스 및 대상 주소, 프로토콜 및 패킷 내용과 같은 캡처된 패킷에 대한 모든 세부 정보가 파일에 저장됩니다.
네트워크 트래픽을 성공적으로 캡처하여 파일에 저장했습니다. 다음 단계에서는 이러한 패킷을 필터링하여 특정 유형의 트래픽에 집중하는 방법을 배우게 됩니다.
패킷 필터링
실제 네트워크 시나리오에서 네트워크 트래픽을 캡처하면 캡처 파일이 수천 또는 수백만 개의 패킷을 포함하여 매우 커질 수 있습니다. 이러한 모든 패킷을 한 번에 분석하는 것은 압도적이고 비효율적일 수 있습니다. 여기서 필터링이 시작됩니다. 필터링은 특정 유형의 트래픽에 집중할 수 있게 해주는 중요한 기술입니다. 보고 있는 패킷을 좁힘으로써 분석 프로세스를 훨씬 더 쉽게 관리하고 필요한 정보를 더 빠르게 찾을 수 있습니다.
디스플레이 필터 이해
Wireshark 에는 강력한 필터링 언어가 탑재되어 있습니다. 이 언어를 사용하면 특정 기준을 충족하는 패킷만 표시할 수 있습니다. 다음은 디스플레이 필터를 사용할 수 있는 몇 가지 일반적인 방법입니다.
- 프로토콜별 필터링: HTTP, DNS 또는 TCP 와 같은 특정 프로토콜의 패킷을 표시할 수 있습니다. 이는 특정 유형의 네트워크 통신에 관심이 있을 때 유용합니다. 예를 들어 웹 트래픽을 조사하는 경우 HTTP 패킷에 집중할 수 있습니다.
- IP 주소별 필터링: 특정 IP 주소에서 보내거나 받은 패킷을 표시할 수 있습니다. 이는 네트워크의 특정 장치 간의 통신을 추적하는 데 도움이 됩니다.
- 내용별 필터링: 특정 내용을 포함하는 패킷을 표시할 수 있습니다. 이는 패킷 내에서 특정 키워드 또는 데이터를 찾을 때 유용합니다.
- 조건 결합: 논리 연산자를 사용하여 여러 조건을 결합할 수 있습니다. 이를 통해 더 복잡하고 정확한 필터를 만들 수 있습니다.
기본 필터 적용
먼저 Wireshark 에서 캡처 파일을 엽니다. 파일이 열리면 Wireshark 창 상단을 봅니다. 파란색 배경의 텍스트 필드가 표시됩니다. 이것이 필터 상자입니다. 필터 상자에 필터 기준을 입력합니다.

HTTP 트래픽을 필터링하려는 경우를 가정해 보겠습니다. HTTP 는 웹 통신에 사용되는 프로토콜입니다. 이렇게 하려면 필터 상자에 다음을 입력하기만 하면 됩니다.
http필터를 입력한 후에는 필터를 적용할 수 있는 두 가지 옵션이 있습니다. 키보드에서 Enter 키를 누르거나 필터 상자 옆의 오른쪽 화살표 버튼을 클릭할 수 있습니다. 이렇게 하면 Wireshark 가 패킷 목록에 필터를 적용하기 시작합니다.
필터를 적용한 후에는 패킷 목록에 HTTP 패킷만 표시되어야 합니다. 그러나 패킷이 표시되지 않으면 캡처 파일에 HTTP 트래픽이 포함되어 있지 않을 수 있습니다. 이 경우 대신
tcp필터를 사용할 수 있습니다. TCP 는 기본적인 전송 계층 프로토콜이며 이 필터를 사용하면 캡처 파일의 모든 TCP 패킷이 표시됩니다.필터를 지우고 모든 패킷을 다시 보려면 두 가지 방법이 있습니다. 필터 상자 오른쪽에 있는 "X" 버튼을 클릭하거나 상자의 필터 텍스트를 삭제한 다음 Enter 키를 누를 수 있습니다.
고급 필터 사용
패킷 분석을 더욱 세분화하기 위해 더 구체적인 필터를 살펴보겠습니다.
HTTP GET 요청만 관심 있는 경우를 가정해 보겠습니다. GET 요청은 서버에서 데이터를 검색하는 데 사용되는 일반적인 유형의 HTTP 요청입니다. 이러한 요청만 표시하려면 필터 상자에 다음 필터를 입력합니다.
http.request.method == "GET"Enter 키를 눌러 필터를 적용합니다. 그러면 Wireshark 는 패킷 목록을 검색하여 HTTP GET 요청만 표시합니다.

필터를 적용한 후 패킷이 표시되지 않으면 캡처 파일에 HTTP GET 요청이 포함되어 있지 않을 수 있습니다.
이제 다른 필터를 시도해 보겠습니다. 포트 80(HTTP 의 표준 포트) 으로 전송되는 모든 TCP 패킷을 보려면 필터 상자에 다음 필터를 입력합니다.
tcp.dstport == 80Enter 키를 눌러 이 필터를 적용합니다.
필터를 적용한 후에는 패킷 목록에서 포트 80 으로 전송된 모든 TCP 패킷이 표시되어야 합니다.
필터 결합
논리 연산자를 사용하여 여러 필터를 결합하여 필터를 더욱 강력하게 만들 수 있습니다.
HTTP 또는 DNS 패킷을 보려는 경우를 가정해 보겠습니다. DNS 는 도메인 이름을 IP 주소로 변환하는 데 사용되는 프로토콜입니다. 이를 위한 필터를 만들려면 필터 상자에 다음을 입력합니다.
http or dnsEnter 키를 눌러 필터를 적용합니다.
필터를 적용한 후에는 패킷 목록에 HTTP 및 DNS 패킷이 모두 표시되어야 합니다.
필터링은 Wireshark 의 강력한 기능으로, 분석과 가장 관련이 있는 패킷에 집중할 수 있습니다. Wireshark 에 대한 경험이 더 많아지면 특정 요구 사항에 맞게 조정된 더 정교한 필터를 만들 수 있습니다.
패킷 내보내기
패킷을 캡처하고 필터링한 후에는 패킷을 내보내야 하는 경우가 많습니다. 패킷을 내보내면 심층 분석, 문서 작성 또는 다른 사람과 데이터 공유가 가능합니다. Wireshark 는 여러 내보내기 형식을 제공하며 각 형식은 다른 사용 사례에 맞게 설계되었습니다.
내보내기 형식 이해
Wireshark 는 여러 내보내기 형식을 지원합니다. 각 형식에 대한 간략한 설명은 다음과 같습니다.
- PCAP/PCAPNG: 이것은 패킷 캡처 파일의 기본 형식입니다. 캡처된 모든 데이터를 정확하게 보존하므로 패킷 데이터를 저장하고 재사용하는 데 이상적입니다.
- CSV (쉼표로 구분된 값): 이 형식은 패킷 데이터를 스프레드시트 또는 데이터베이스로 가져오는 데 적합합니다. 데이터를 표 형식으로 구성하여 일반적인 데이터 분석 도구를 사용하여 쉽게 분석할 수 있습니다.
- TXT (일반 텍스트): 사람이 읽을 수 있는 형식입니다. 패킷 정보를 누구나 이해할 수 있는 간단한 텍스트 형식으로 제공하므로 문서를 만드는 데 유용합니다.
- XML: 구조화된 형식입니다. 스크립트 또는 기타 도구로 쉽게 처리할 수 있으므로 자동화된 분석에 적합합니다.
- PSML/PDML: 이것은 특수한 Wireshark 형식입니다. PSML 은 패킷 요약에 사용되는 반면 PDML 은 자세한 패킷 정보를 제공합니다.
특정 패킷 내보내기
캡처에서 일부 패킷을 내보내는 것으로 시작해 보겠습니다.
먼저 적용한 모든 필터를 지워야 합니다. 이렇게 하려면 필터 상자에서 "X" 버튼을 클릭합니다. 필터를 지우면 캡처된 모든 패킷이 표시됩니다. 이 단계는 캡처한 모든 패킷을 전체적으로 볼 수 있으므로 내보내려는 패킷을 선택할 수 있으므로 중요합니다.

다음으로 내보내려는 패킷을 선택합니다. 첫 번째 패킷을 클릭하여 이 작업을 수행할 수 있습니다. 그런 다음 Shift 키를 누른 채 다른 패킷을 클릭합니다. 이렇게 하면 그 사이의 모든 패킷이 선택됩니다. 모든 패킷을 선택하려면
Ctrl+A를 누르기만 하면 됩니다.패킷을 선택했으면 메뉴 모음에서
File을 클릭합니다. 그런 다음Export Specified Packets...를 선택합니다. 이 옵션을 사용하면 선택한 패킷을 특정 형식으로 저장할 수 있습니다.나타나는 내보내기 대화 상자에서 다음을 수행합니다.
/home/labex/project디렉토리로 이동합니다. 여기에서 내보낸 파일을 저장합니다.- "Save as type" 드롭다운을 확인합니다.
Wireshark/tcpdump/... - pcap이 아직 선택되지 않은 경우 선택합니다. PCAP 형식은 패킷 데이터에 널리 사용되는 형식입니다. - 파일 이름으로
exported.pcap을 입력합니다. 이렇게 하면 내보낸 파일의 이름이 지정됩니다. - 모든 패킷을 선택하지 않은 경우 "Selected packets only"가 선택되어 있는지 확인합니다. 이렇게 하면 선택한 패킷만 내보내집니다.
- 마지막으로
Save를 클릭합니다.

이제 선택한 패킷을 PCAP 파일로 성공적으로 내보냈습니다. 이 파일은 Wireshark 뿐만 아니라 PCAP 형식을 지원하는 모든 도구에서 열 수 있습니다. 이를 통해 추가 분석을 위해 다양한 도구를 유연하게 사용할 수 있습니다.
CSV 형식으로 내보내기
이제 동일한 데이터를 CSV 형식으로 내보내 보겠습니다. CSV 형식은 스프레드시트 응용 프로그램에서 분석하는 데 매우 유용합니다.
패킷이 아직 선택되어 있는지 확인합니다. 그렇지 않은 경우
Ctrl+A를 눌러 모든 패킷을 다시 선택합니다. 그런 다음 메뉴 모음에서File을 클릭하고Export Packet Dissections...를 선택합니다. 이 옵션을 사용하면 패킷 데이터를 다른 형식으로 내보낼 수 있습니다.As CSV...버튼을 클릭합니다. 이렇게 하면 내보내기 형식이 CSV 로 설정됩니다.내보내기 대화 상자에서 다음을 수행합니다.
- 파일을 저장하려면
/home/labex/project디렉토리로 이동합니다. - 파일 이름으로
exported.csv를 입력합니다. Save를 클릭합니다.

- 파일을 저장하려면
이제 패킷 데이터를 CSV 파일로 내보냈습니다. 이 파일의 내용을 보려면 터미널에서 다음 명령을 사용할 수 있습니다.
head -n 10 /home/labex/project/exported.csv이 명령은 CSV 파일의 처음 10 줄을 표시합니다. 열 머리글과 일부 패킷 데이터를 표시하여 파일의 내용을 간략하게 보여줍니다.
패킷 바이트 내보내기
경우에 따라 패킷의 실제 원시 바이트를 내보내야 할 수 있습니다. 방법은 다음과 같습니다.
패킷 목록에서 단일 패킷을 선택합니다. 이것은 원시 바이트를 내보내려는 패킷입니다.
패킷을 마우스 오른쪽 버튼으로 클릭하고
Export Packet Bytes...를 선택합니다. 이 옵션을 사용하면 패킷의 원시 데이터를 저장할 수 있습니다.내보내기 대화 상자에서 다음을 수행합니다.
/home/labex/project디렉토리로 이동합니다.- 파일 이름으로
packet_bytes.bin을 입력합니다. Save를 클릭합니다.
이제 선택한 패킷의 원시 바이트를 내보냈습니다. 이는 자세한 분석 또는 패킷에 포함된 파일 추출에 매우 유용할 수 있습니다.
이러한 내보내기 옵션은 패킷 캡처 데이터를 분석하고 공유하는 방법에 대한 많은 유연성을 제공합니다. 선택하는 형식은 특정 요구 사항과 추가 분석에 사용할 도구에 따라 다릅니다.
요약
이 랩에서는 강력한 네트워크 프로토콜 분석기인 Wireshark 를 사용하여 네트워크 패킷을 캡처, 필터링 및 내보내는 방법을 배웠습니다. 먼저 Wireshark 인터페이스에 익숙해지고 실시간 네트워크 트래픽을 캡처했습니다. 그런 다음 HTTP 요청 또는 TCP 통신과 같은 특정 트래픽 유형을 대상으로 필터를 적용하는 방법을 배웠습니다. 마지막으로 추가 분석 또는 공유를 위해 PCAP 및 CSV 와 같은 형식으로 패킷을 내보내는 다양한 방법을 살펴보았습니다.
이러한 기술은 네트워크 관리자, 보안 분석가 및 IT 전문가에게 필수적입니다. 네트워크 문제의 효율적인 문제 해결, 보안 사고 조사 및 네트워크 동작 이해를 가능하게 합니다. Wireshark 의 패킷 내보내기 기능을 마스터하면 사이버 보안 및 네트워크 분석에 유용한 도구를 제공하여 실제 IT 및 보안 역할에 적용할 수 있는 고급 기술의 기반을 마련합니다.


