Gerar Estatísticas de Protocolo no Tshark - Guia Prático

Introdução

Neste laboratório, você aprenderá a analisar o tráfego de rede usando a ferramenta de linha de comando tshark do Wireshark, gerando estatísticas de protocolo a partir de um arquivo de captura de pacotes. Você explorará opções-chave como -r para leitura de arquivos, -q para modo silencioso e -z io,phs para estatísticas de hierarquia de protocolo (protocol hierarchy statistics).

O exercício irá guiá-lo através da verificação de arquivos de captura, visualização de resumos de pacotes e interpretação das distribuições de protocolo. Esta experiência prática aprimorará suas habilidades de análise de rede com os recursos estatísticos do tshark.

Ler Arquivo com -r capture.pcap

Nesta etapa, você aprenderá como abrir e analisar um arquivo de captura de pacotes usando a ferramenta de linha de comando tshark do Wireshark. A opção -r é fundamental, pois especifica qual arquivo de captura de pacotes deve ser lido. Pense nisso como abrir um documento com um editor de texto - você precisa dizer ao programa com qual arquivo trabalhar.

Primeiro, certifique-se de estar no diretório correto. Abra o terminal e execute:
```
cd ~/project
```
Este comando navega até o diretório do projeto onde nosso arquivo de captura de amostra está armazenado. É como abrir a pasta certa antes de acessar um arquivo.
O ambiente do laboratório fornece um arquivo de captura de amostra chamado capture.pcap. Verifique sua existência:
```
ls -l capture.pcap
```
A saída esperada deve mostrar os detalhes do arquivo, como:
```
-rw-r--r-- 1 labex labex 12345 Jan 1 00:00 capture.pcap
```
O comando ls -l mostra as permissões, o tamanho e o tempo de modificação do arquivo. Isso confirma que o arquivo está presente e acessível antes de tentarmos analisá-lo.
Para ler o arquivo de captura com tshark, execute:
```
tshark -r capture.pcap
```
Este comando lê o arquivo capture.pcap e exibe as informações de resumo de cada pacote de rede. Você verá colunas mostrando:
- Número do pacote (sequência na captura)
- Timestamp (quando foi capturado)
- Endereços IP de origem e destino
- Protocolo usado (TCP, UDP, etc.)
- Informações básicas sobre o pacote
Para uma saída mais limpa com apenas números de pacotes e protocolos, adicione a opção -q (quiet):
```
tshark -r capture.pcap -q
```
A flag -q simplifica a saída suprimindo alguns detalhes. Isso é útil quando você deseja apenas verificar rapidamente os tipos de tráfego na captura sem ver todos os detalhes do pacote.
Para sair da listagem de pacotes, pressione Ctrl+C quando tiver visto saída suficiente. Esta combinação de teclado interrompe a execução do comando e retorna você ao prompt do terminal.

Lembre-se, esses comandos estão apenas exibindo os pacotes capturados - não estamos modificando o arquivo de forma alguma. As próximas etapas mostrarão como analisar esse tráfego com mais detalhes.

Calcular Estatísticas de Hierarquia com -z io,phs

Nesta etapa, exploraremos como analisar o tráfego de rede gerando estatísticas de hierarquia de protocolo usando a ferramenta de linha de comando tshark do Wireshark. A opção -z io,phs cria uma visão geral estruturada mostrando como diferentes protocolos de rede se relacionam entre si no tráfego capturado.

Primeiro, vamos garantir que estamos no diretório de trabalho correto onde nosso arquivo de captura está armazenado:
```
cd ~/project
```
Este comando navega até o diretório do projeto onde trabalharemos com nosso arquivo de captura de pacotes.
Agora, analisaremos o arquivo capture.pcap para ver a distribuição do protocolo. Execute este comando:
```
tshark -r capture.pcap -z io,phs
```
Aqui está o que cada parte faz:
- -r capture.pcap lê nosso arquivo de captura de pacotes
- -z io,phs gera as estatísticas de hierarquia de protocolo

O comando produz uma saída mostrando como os protocolos são organizados em camadas no seu tráfego de rede. Aqui está uma estrutura de amostra:

======================================================
Protocol Hierarchy Statistics
Filter:

eth                                      frames:100 bytes:10000
  ip                                     frames:90 bytes:9000
    tcp                                  frames:80 bytes:8000
      http                               frames:70 bytes:7000
    udp                                  frames:10 bytes:1000
  arp                                    frames:10 bytes:1000
======================================================

Esta estrutura em árvore revela:

Ethernet (eth) como a camada base transportando todo o tráfego
Pacotes IP representando 90% dos quadros Ethernet
TCP sendo o protocolo de transporte dominante dentro do IP
Tráfego HTTP representando a maioria dos pacotes TCP

As estatísticas fornecem três informações-chave para cada protocolo:
- Porcentagem do tráfego total (implicada pelas contagens de quadros)
- Números absolutos de quadros e bytes transmitidos
- A relação de encapsulamento entre os protocolos
Para uma visualização mais limpa sem informações de captura adicionais, adicione a opção -q (quiet):
```
tshark -r capture.pcap -z io,phs -q
```
A flag -q suprime detalhes extras, fornecendo apenas as estatísticas de hierarquia de protocolo. Isso é particularmente útil quando você só precisa da análise do protocolo.

Suprimir Detalhes de Pacotes com -q

Nesta etapa, você aprenderá sobre a opção -q no tshark, que ajuda a simplificar sua saída ao analisar o tráfego de rede. Isso é especialmente útil quando você precisa apenas de informações estatísticas em vez de conteúdo detalhado do pacote.

Primeiro, vamos navegar para o nosso diretório de trabalho onde o arquivo de captura de pacotes está armazenado:
```
cd ~/project
```
Isso garante que estamos no local certo para acessar nosso arquivo de captura de amostra.
Vamos primeiro examinar como a saída normal do tshark se parece sem a opção -q:
```
tshark -r capture.pcap
```
Este comando exibe informações completas do pacote, incluindo cabeçalhos de protocolo e dados de payload. Para iniciantes, essa saída pode parecer esmagadora com muitos detalhes quando você está interessado apenas em estatísticas gerais.
Agora, vamos tentar o mesmo comando com a opção -q (quiet):
```
tshark -r capture.pcap -q
```
Observe como isso suprime as informações detalhadas do pacote, fornecendo uma saída mais limpa. A opção -q diz ao tshark para mostrar apenas informações de resumo, o que é mais fácil de ler quando você não precisa de detalhes no nível do pacote.
Vamos combinar -q com as estatísticas de hierarquia de protocolo que aprendemos anteriormente:
```
tshark -r capture.pcap -z io,phs -q
```
Esta combinação poderosa fornece apenas as estatísticas do protocolo sem quaisquer detalhes de pacote que distraiam. O -z io,phs gera as estatísticas enquanto -q garante que vemos apenas o resumo estatístico.
Principais diferenças a serem observadas:
- Sem -q: Mostra a dissecação completa do pacote, incluindo todas as camadas de protocolo
- Com -q: Fornece uma visão mais limpa mostrando apenas informações de resumo/estatísticas
- Particularmente útil quando combinado com opções de estatísticas (-z) para análise focada

Lembre-se, a opção -q é sua amiga quando você deseja se concentrar no panorama geral em vez de detalhes individuais do pacote. Ele ajuda a reduzir a desordem visual, fornecendo ainda as informações essenciais de que você precisa para a análise de rede.

Visualizar Estatísticas no Console

Nesta etapa, você aprenderá como usar os poderosos recursos estatísticos do tshark para analisar padrões de tráfego de rede diretamente em seu terminal. Esses comandos ajudam você a entender a distribuição do tráfego, identificar os principais comunicadores e detectar padrões incomuns nos dados de rede capturados.

Primeiro, certifique-se de estar no diretório de trabalho correto onde seu arquivo de captura está armazenado. Isso é importante porque o tshark precisa acessar o arquivo:
```
cd ~/project
```
Visualize as estatísticas básicas do arquivo de captura com intervalos de tempo. A flag -q suprime os detalhes do pacote, enquanto -z io,stat,60 cria blocos de resumo de 60 segundos:
```
tshark -r capture.pcap -q -z io,stat,60
```
Isso mostra como o volume de tráfego muda ao longo do tempo em segmentos de um minuto.
Para ver quais endereços IP estão mais ativos (estatísticas de endpoint), este comando conta o tráfego por endereço:
```
tshark -r capture.pcap -q -z endpoints,ip
```
Ele lista todos os IPs comunicantes com suas contagens de pacotes e bytes enviados/recebidos.
Para estatísticas de conversação mostrando quais pares de IP se comunicam e quanto:
```
tshark -r capture.pcap -q -z conv,ip
```
Isso revela padrões de comunicação entre pares específicos de origem-destino.
Combine várias estatísticas em um comando para análise abrangente:
```
tshark -r capture.pcap -q -z io,stat,60 -z endpoints,ip -z conv,ip
```
Ao revisar as estatísticas, concentre-se nesses indicadores-chave:
- Total de pacotes e bytes: Volume geral de tráfego
- Distribuição do tráfego ao longo do tempo: Detectar picos ou padrões incomuns
- Principais endpoints de comunicação: Identificar usuários pesados
- Pares de conversação: Entender quem fala com quem e quanto

Resumo

Neste laboratório, você aprendeu a utilizar a ferramenta de linha de comando tshark do Wireshark para análise de tráfego de rede. Você praticou a leitura de arquivos de captura de pacotes usando a opção -r e simplificou a saída com a flag -q para melhor legibilidade.

Além disso, você explorou a geração de estatísticas de hierarquia de protocolo por meio da opção -z io,phs, que fornece informações valiosas sobre a distribuição de protocolos dentro do tráfego de rede. Essa técnica permite uma avaliação rápida da composição do tráfego sem inspecionar pacotes individuais.