Объединение нескольких файлов захвата с помощью mergecap

Введение

При сетевом анализе и криминалистике часто приходится работать с несколькими файлами захвата пакетов. Они могут быть из разных временных периодов, с разных сетевых интерфейсов или с разных машин. Анализ их по отдельности может быть громоздким и мешать получению полной картины сетевого события.

mergecap — это инструмент командной строки, входящий в состав пакета Wireshark. Его основная задача — объединение нескольких файлов захвата в один выходной файл. Он интеллектуально объединяет пакеты из входных файлов в хронологическом порядке на основе их временных меток, создавая единое представление для анализа.

В этой лабораторной работе вы научитесь использовать mergecap для объединения нескольких образцов файлов захвата.

Определение нескольких файлов .cap из разных сканирований

На этом шаге вы определите образцы файлов захвата, подготовленные для вас в лабораторной среде. В реальном сценарии эти файлы могли быть сгенерированы путем запуска tcpdump или Wireshark в разное время.

Наш установочный скрипт уже создал три файла: scan1.pcap, scan2.pcap и scan3.pcap. Давайте выведем содержимое текущего каталога, чтобы увидеть их. Вся ваша работа будет проводиться в каталоге ~/project.

Используйте команду ls -l для вывода списка файлов с подробностями:

ls -l

Вы должны увидеть вывод, аналогичный следующему, подтверждающий наличие наших трех файлов захвата. Размеры и временные метки могут незначительно отличаться.

total 12
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan1.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan2.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan3.pcap

Эти три файла .pcap представляют различные источники данных, которые мы хотим объединить.

Понимание пользы объединения файлов для анализа

На этом шаге мы обсудим преимущества объединения файлов захвата. Здесь нет команд для выполнения; этот раздел предназначен для концептуального понимания.

При расследовании сетевой проблемы или инцидента безопасности крайне важно иметь все соответствующие данные в одном месте. Вот почему объединение так полезно:

1. Хронологический анализ: mergecap автоматически сортирует пакеты из всех входных файлов по их временным меткам. Это позволяет вам восстановить единую хронологическую временную шкалу событий, что необходимо для понимания причинно-следственных связей.
2. Упрощенный рабочий процесс: Вместо того чтобы открывать три отдельных файла в Wireshark и постоянно переключаться между ними, вы можете работать с одним, объединенным файлом. Это делает фильтрацию, поиск и анализ данных гораздо более эффективными.
3. Комплексное представление: Представьте, что вы одновременно захватили трафик на клиентской машине и сервере. Объединение этих двух захватов позволяет вам видеть обе стороны разговора в одном потоке, предоставляя полную картину взаимодействия.

Объединяя файлы, вы превращаете фрагментированные данные в связное и анализируемое целое.

Использование команды mergecap из пакета Wireshark

На этом шаге вы познакомитесь с самой командой mergecap. Установочный скрипт уже установил пакет tshark, который включает утилиту mergecap.

Чтобы убедиться, что mergecap доступен, и ознакомиться с основными инструкциями по его использованию, вы можете просмотреть его справочную страницу. Это хорошая практика для понимания возможностей любого инструмента командной строки.

Выполните команду mergecap с флагом -h (help):

mergecap -h

Это отобразит список всех доступных опций и их описаний. Вывод будет выглядеть примерно так:

Mergecap (Wireshark) 4.0.x
Merge two or more capture files into one.
See https://www.wireshark.org for more information.

Usage: mergecap [options] -w <outfile>|- <infile> [<infile> ...]

Output:
  -w <outfile>|-      set the output filename to <outfile> or '-' for stdout
  -a                  append packets to the end of the output file
...

Обратите особое внимание на опцию -w <outfile>. Это самый важный флаг, так как он указывает mergecap, куда сохранить объединенный вывод.

Укажите выходной файл с помощью -w и все входные файлы

На этом шаге вы выполните фактическую операцию слияния. Синтаксис прост: вы указываете выходной файл с помощью -w, а затем перечисляете все входные файлы, которые хотите объединить.

Мы объединим scan1.pcap, scan2.pcap и scan3.pcap в один новый файл с именем merged_scans.pcap.

Выполните следующую команду в терминале:

mergecap -w merged_scans.pcap scan1.pcap scan2.pcap scan3.pcap

Если команда выполнится успешно, она не выдаст никакого вывода. Чтобы убедиться, что новый файл был создан, снова выведите список файлов в каталоге:

ls -l

Теперь вы должны увидеть файл merged_scans.pcap в списке. Его размер должен примерно соответствовать сумме размеров трех входных файлов.

total 16
-rw-r--r-- 1 labex labex 208 Oct 26 10:35 merged_scans.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan1.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan2.pcap
-rw-r--r-- 1 labex labex 160 Oct 26 10:30 scan3.pcap

Вы успешно объединили три исходных файла в один.

Проверьте, содержит ли объединенный файл данные из всех источников

На этом шаге вы проверите, действительно ли объединенный файл содержит комбинированные данные из всех исходных файлов. Простой способ сделать это — проверить количество пакетов в исходных файлах и сравнить его с количеством пакетов в объединенном файле.

Инструмент capinfos, также входящий в пакет Wireshark, предоставляет сводную статистику для файлов захвата. Сначала давайте проверим количество пакетов для одного из исходных файлов:

capinfos scan1.pcap

Вывод покажет различные детали о файле. Найдите строку "Number of packets".

File name:           scan1.pcap
File type:           pcapng
...
Number of packets:   5
...

Как вы видите, scan1.pcap содержит 5 пакетов. Поскольку мы создали все три исходных файла с 5 пакетами в каждом, объединенный файл должен содержать в общей сложности 15 пакетов.

Теперь выполните capinfos для объединенного файла:

capinfos merged_scans.pcap

Проверьте количество пакетов в выводе:

File name:           merged_scans.pcap
File type:           pcapng
...
Number of packets:   15
...

"Number of packets" равно 15, что подтверждает успешное объединение данных из всех трех исходных файлов в merged_scans.pcap.

Резюме

В этой лабораторной работе вы освоили фундаментальный навык анализа сетевого трафика. Вы начали с идентификации нескольких отдельных файлов захвата пакетов. Затем вы изучили основной синтаксис команды mergecap и использовали ее для объединения отдельных файлов в один унифицированный файл захвата. Наконец, вы использовали утилиту capinfos для проверки успешности слияния, подтвердив, что общее количество пакетов в новом файле соответствует сумме пакетов из исходных файлов.

Теперь вы готовы консолидировать сетевые захваты из различных источников, что значительно упростит ваш рабочий процесс анализа.