使用 Tshark 进行协议分析
通过 tshark（Wireshark 背后的命令行引擎）学习协议分析。基础的数据包捕获只能告诉你网络中传输了什么，而 tshark 则能帮你深入理解这些流量背后的协议行为。本课程将教你如何应用协议感知过滤器、重组会话、提取特定字段，并自动化处理高价值流量分析，以用于威胁狩猎和事件响应。
为什么学习本课程
安全调查往往会产生海量的数据包捕获文件，逐个查看数据包效率极低。tshark 将 Wireshark 的协议感知能力与命令行的速度和自动化优势相结合，完美解决了这一问题。对于需要从真实流量中快速获取答案的 SOC 分析师、威胁狩猎人员和应急响应人员来说，它是一个极其强大的工具。
本课程不仅仅局限于简单的抓包。你将学习如何重组数据流、隔离应用层行为，并导出结构化的协议数据，从而为报告撰写、脚本编写以及更大型的调查工作流提供支持。
你将学到什么
- 应用协议感知显示过滤器，专注于特定的 DNS、HTTP、TLS 和传输层活动。
- 从零散的数据包中重组完整的网络会话。
- 从数据包捕获中提取主机名、URI 和请求元数据等特定字段。
- 将流量数据格式化为机器可读的输出，以实现更快速的分析。
- 在真实的威胁狩猎场景中使用
tshark自动化流量调查。
课程路线图
- Tshark 简介：学习
tshark的核心工作流、命令结构以及协议感知过滤功能。 - 追踪网络流：重组 TCP 和 UDP 会话，让你能够以完整交互过程而非孤立数据包的形式阅读流量。
- 字段提取与格式化：导出目标协议字段，并自定义输出格式，以实现高效的解析与报告生成。
- 自动化流量分析：将
tshark应用于恶意软件调查场景，识别可疑域名并重组恶意下载路径。
课程目标人群
- 已经了解基础数据包捕获，并希望获得更深层协议可见性的学习者。
- 需要更快速的命令行流量分析能力的 SOC 分析师和防御人员。
- 希望自动化处理重复性数据包审查任务的安全从业者。
学习成果
完成本课程后，你将能够使用 tshark 从嘈杂的捕获文件中过滤、重组并提取有意义的协议数据。同时，你也将为后续依赖于强大流量分析和证据驱动调查的课程打下坚实基础。
