如何在 Wireshark 中保存捕获的网络安全网络流量

简介

本教程将指导你使用广受欢迎的网络协议分析器 Wireshark 捕获和保存与网络安全相关的网络流量。在本教程结束时，你将掌握有效记录和保存关键网络数据以用于网络安全调查的知识和技能。

Wireshark 简介

Wireshark 是一款功能强大的开源网络协议分析器，在网络安全领域被广泛使用。它是捕获、分析和排查网络流量问题的宝贵工具，是任何网络安全专业人员必备的武器之一。

什么是 Wireshark？

Wireshark 是一款网络协议分析器，可让你实时捕获、检查和分析网络流量。它可用于诊断网络问题、监控网络活动以及调查安全事件。Wireshark 支持多种网络协议，包括以太网、Wi-Fi、蓝牙等等。

为何使用 Wireshark？

Wireshark 成为网络分析和网络安全领域热门选择有以下几个原因：

1. 全面的协议支持：Wireshark 支持大量网络协议，使其成为分析各种网络流量的通用工具。
2. 详细的数据包分析：Wireshark 提供有关每个数据包的详细信息，包括各个协议层、头部和有效载荷数据。
3. 强大的过滤和搜索功能：Wireshark 提供高级过滤和搜索功能，使你能够快速识别和隔离特定的网络流量。
4. 跨平台兼容性：Wireshark 适用于多个操作系统，包括 Windows、macOS 和 Linux，广大用户均可使用。
5. 开源且免费：Wireshark 是一个开源项目，这意味着它可免费获取，并且社区可以对其进行定制和扩展。

在 Ubuntu 22.04 上安装 Wireshark

要在 Ubuntu 22.04 上安装 Wireshark，请执行以下步骤：

1. 打开终端。
2. 更新软件包索引：

   sudo apt-get update
   

3. 安装 Wireshark：

   sudo apt-get install wireshark
   

4. 出现提示时，选择“Yes”以允许非 root 用户捕获数据包。

既然你对 Wireshark 及其安装方法有了基本了解，接下来让我们开始捕获网络流量。

在 Wireshark 中捕获网络流量

既然你已经安装了 Wireshark，那我们来探讨一下如何捕获网络流量。

选择捕获接口

捕获网络流量的第一步是选择合适的网络接口。Wireshark 会显示系统上可用网络接口的列表。你可以选择与你想要监控的网络相对应的接口。

要开始捕获，请执行以下步骤：

1. 启动 Wireshark。
2. 在主窗口中，点击“开始”按钮或转到“捕获”>“开始”。
3. 在“捕获选项”窗口中，从“接口”下拉菜单中选择你要捕获的网络接口。
4. 点击“开始”以开始捕获。

过滤捕获的流量

Wireshark 提供了强大的过滤功能，可帮助你专注于感兴趣的特定网络流量。你可以使用主窗口顶部的显示过滤器栏来应用各种过滤器。

例如，要仅捕获 HTTP 流量，你可以在显示过滤器栏中使用过滤器 http。

http

你还可以使用布尔运算符（如 and、or 和 not）组合多个过滤器。例如，要仅捕获到特定 IP 地址的 HTTP 流量：

http and ip.addr == 192.168.1.100

停止并保存捕获内容

要停止捕获，请在 Wireshark 主窗口中点击“停止”按钮或转到“捕获”>“停止”。

捕获完成后，你可以保存捕获的数据以供后续分析。为此，请转到“文件”>“另存捕获文件为”，然后选择保存捕获文件的位置和文件名。

Wireshark 支持各种文件格式，包括标准的 pcap 格式，其他网络分析工具也可以使用该格式。

既然你已经知道如何在 Wireshark 中捕获网络流量，接下来让我们继续保存捕获的网络安全数据。

保存捕获的网络安全数据

在 Wireshark 中捕获网络流量后，你可能希望保存数据以便进一步分析或与其他网络安全专业人员共享。Wireshark 提供了多种保存捕获数据的选项。

保存捕获文件

要保存捕获的数据，请执行以下步骤：

1. 在 Wireshark 主窗口中，转到“文件”>“另存捕获文件为”。
2. 在“另存捕获文件为”对话框中，为捕获文件选择一个位置和文件名。
3. 选择所需的文件格式。Wireshark 支持多种格式，包括：
   • pcap：标准的数据包捕获文件格式，其他网络分析工具也可以使用。
   • pcapng：pcap 格式的增强版本，支持更多元数据。
   • 文本：一个纯文本文件，包含捕获数据包的摘要。
4. 点击“保存”以保存捕获文件。

分析保存的捕获文件

保存捕获文件后，你可以在 Wireshark 中打开它进行进一步分析。为此，请执行以下步骤：

1. 启动 Wireshark。
2. 转到“文件”>“打开”或点击主窗口中的“打开”按钮。
3. 在“打开捕获文件”对话框中，导航到保存捕获文件的位置并选择它。
4. 点击“打开”将捕获文件加载到 Wireshark 中。

现在你可以浏览捕获的数据，应用过滤器，并执行各种分析任务，例如：

• 识别可疑的网络活动
• 检测潜在的安全威胁
• 排查网络问题
• 调查安全事件

通过保存捕获的网络安全数据，你可以确保信息得以保留以供将来参考和分析，这在网络安全领域至关重要。

总结

在本专注于网络安全的教程中，你已经学会了如何利用 Wireshark 来捕获和保存对你的安全分析及事件响应工作至关重要的网络流量数据。通过掌握这些技术，你可以确保你的网络安全调查全面、记录完善，并为进一步分析或法律程序做好准备。