Introdução
Na análise de redes e forense de segurança, você frequentemente acaba com múltiplos arquivos de captura de pacotes. Estes podem ser de diferentes períodos de tempo, diferentes interfaces de rede ou diferentes máquinas. Analisá-los separadamente pode ser complicado e pode impedi-lo de ter uma visão completa de um evento de rede.
mergecap é uma ferramenta de linha de comando que vem com o conjunto de ferramentas Wireshark. Seu propósito específico é combinar múltiplos arquivos de captura em um único arquivo de saída. Ele mescla inteligentemente os pacotes dos arquivos de entrada em ordem cronológica com base em seus timestamps, criando uma visão unificada para análise.
Neste laboratório, você aprenderá a usar o mergecap para mesclar vários arquivos de captura de amostra.
Identificar Múltiplos Arquivos .cap de Diferentes Scans
Nesta etapa, você identificará os arquivos de captura de amostra que foram preparados para você no ambiente de laboratório. Para um cenário do mundo real, esses arquivos podem ter sido gerados pela execução do tcpdump ou Wireshark em momentos diferentes.
Nosso script de configuração já criou três arquivos: scan1.pcap, scan2.pcap e scan3.pcap. Vamos listar o conteúdo do diretório atual para vê-los. Todo o seu trabalho será feito no diretório ~/project.
Use o comando ls -l para listar os arquivos com detalhes:
ls -l
Você deverá ver uma saída semelhante à seguinte, confirmando a presença dos nossos três arquivos de captura. Os tamanhos e timestamps podem variar ligeiramente.
total 12
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan1.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan2.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan3.pcap
Esses três arquivos .pcap representam as diferentes fontes de dados que queremos combinar.
Compreender Por Que Mesclar Arquivos é Útil para Análise
Nesta etapa, discutiremos os benefícios de mesclar arquivos de captura. Não há comandos para executar aqui; esta seção é para compreensão conceitual.
Quando você está investigando um problema de rede ou um incidente de segurança, ter todos os dados relevantes em um só lugar é crucial. Eis o porquê de a mesclagem ser tão útil:
- Análise Cronológica: O
mergecapordena automaticamente os pacotes de todos os arquivos de entrada por seu timestamp. Isso permite que você reconstrua uma linha do tempo única e cronológica de eventos, o que é essencial para entender causa e efeito. - Fluxo de Trabalho Simplificado: Em vez de abrir três arquivos separados no Wireshark e alternar constantemente entre eles, você pode trabalhar com um único arquivo consolidado. Isso torna a filtragem, a busca e a análise de dados muito mais eficientes.
- Visão Abrangente: Imagine que você capturou tráfego em uma máquina cliente e em um servidor simultaneamente. Mesclar essas duas capturas permite que você veja ambos os lados da conversa em um único fluxo, fornecendo uma imagem completa da interação.
Ao mesclar arquivos, você transforma dados fragmentados em um todo coerente e analisável.
Utilizar o Comando mergecap do Wireshark Suite
Nesta etapa, você se familiarizará com o próprio comando mergecap. O script de configuração já instalou o pacote tshark, que inclui a utilidade mergecap.
Para garantir que o mergecap esteja disponível e para ver suas instruções básicas de uso, você pode visualizar sua página de ajuda. Esta é uma boa prática para entender as capacidades de qualquer ferramenta de linha de comando.
Execute o comando mergecap com o flag -h (help):
mergecap -h
Isso exibirá uma lista de todas as opções disponíveis e suas descrições. A saída será algo como isto:
Mergecap (Wireshark) 4.0.x
Merge two or more capture files into one.
See https://www.wireshark.org for more information.
Usage: mergecap [options] -w <outfile>|- <infile> [<infile> ...]
Output:
-w <outfile>|- set the output filename to <outfile> or '-' for stdout
-a append packets to the end of the output file
...
Preste muita atenção à opção -w <outfile>. Este é o flag mais importante, pois informa ao mergecap onde salvar a saída combinada.
Especificar o Arquivo de Saída com -w e Todos os Arquivos de Entrada
Nesta etapa, você realizará a operação de mesclagem real. A sintaxe é direta: você especifica o arquivo de saída com -w e, em seguida, lista todos os arquivos de entrada que deseja mesclar.
Combinaremos scan1.pcap, scan2.pcap e scan3.pcap em um único novo arquivo chamado merged_scans.pcap.
Execute o seguinte comando no seu terminal:
mergecap -w merged_scans.pcap scan1.pcap scan2.pcap scan3.pcap
O comando não produzirá nenhuma saída se for bem-sucedido. Para confirmar que o novo arquivo foi criado, liste os arquivos no diretório novamente:
ls -l
Você deverá ver agora o arquivo merged_scans.pcap na lista. Seu tamanho deve ser aproximadamente a soma dos três arquivos de entrada.
total 16
-rw-r--r-- 1 labex labex 208 Oct 26 10:35 merged_scans.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan1.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan2.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan3.pcap
Você mesclou com sucesso os três arquivos de origem em um.
Verificar se o Arquivo Mesclado Contém Dados de Todas as Fontes
Nesta etapa, você verificará se o arquivo mesclado realmente contém os dados combinados de todos os arquivos de origem. Uma maneira simples de fazer isso é verificar o número de pacotes nos arquivos originais e compará-lo com o número de pacotes no arquivo mesclado.
A ferramenta capinfos, também parte do Wireshark suite, fornece estatísticas resumidas para arquivos de captura. Primeiro, vamos verificar a contagem de pacotes de um dos arquivos originais:
capinfos scan1.pcap
A saída mostrará vários detalhes sobre o arquivo. Procure pela linha "Number of packets".
File name: scan1.pcap
File type: pcapng
...
Number of packets: 5
...
Como você pode ver, scan1.pcap contém 5 pacotes. Como criamos todos os três arquivos de origem com 5 pacotes cada, o arquivo mesclado deve conter um total de 15 pacotes.
Agora, execute capinfos no arquivo mesclado:
capinfos merged_scans.pcap
Verifique a contagem de pacotes na saída:
File name: merged_scans.pcap
File type: pcapng
...
Number of packets: 15
...
O "Number of packets" é 15, o que confirma que os dados dos três arquivos de origem foram combinados com sucesso em merged_scans.pcap.
Resumo
Neste laboratório, você aprendeu uma habilidade fundamental para a análise de tráfego de rede. Você começou identificando múltiplos arquivos de captura de pacotes separados. Em seguida, aprendeu a sintaxe principal do comando mergecap e o utilizou para combinar os arquivos separados em um único arquivo de captura unificado. Finalmente, você usou a utilidade capinfos para verificar se a mesclagem foi bem-sucedida, confirmando que o número total de pacotes no novo arquivo correspondia à soma dos pacotes dos arquivos de origem.
Agora você está equipado para consolidar capturas de rede de várias fontes, o que otimizará significativamente seu fluxo de trabalho de análise.