Wireshark — анализатор сетевого трафика¶

Wireshark — свободный кроссплатформенный анализатор сетевых протоколов с открытым исходным кодом, предназначенный для перехвата, декодирования и интерактивного анализа сетевого трафика в режиме реального времени. Программа работает под управлением Windows, macOS, Linux и ряда UNIX-подобных систем, поддерживает более 1000 сетевых протоколов и является одним из наиболее распространённых инструментов сетевого анализа в мире.

¶История

Wireshark разработан Джеральдом Комбсом (Gerald Combs). Первая версия, носившая название Ethereal, была выпущена в 1998 году. В 2006 году, после конфликта вокруг товарного знака, проект был переименован в Wireshark; исходный код Ethereal остался доступен под лицензией GPL.

Проект развивается силами сообщества разработчиков. В 2006 году была создана некоммерческая организация Wireshark Foundation, которая занимается поддержкой развития программы и организацией конференций SharkFest. Среди крупных спонсоров и контрибторов — компании Cisco, Google, Microsoft, Apple и другие.

¶Возможности

Wireshark выполняет захват пакетов с сетевых интерфейсов в режиме promiscuous (смешанном) режиме, после чего отображает их в структурированном виде с подробной декодировкой по уровням модели OSI. Основные функции включают:

• Захват трафика — запись пакетов с одного или нескольких сетевых интерфейсов, фильтрация при захвате по заданным критериям.
• Фильтрация — мощный синтаксис захвата (capture filters, на основе BPF) и отображения (display filters), позволяющий отбирать пакеты по протоколам, IP-адресам, портам, содержимому полей.
• Декодирование протоколов — поддержка более 1000 протоколов, включая TCP/IP, HTTP/HTTPS (при наличии ключей расшифровки), DNS, DHCP, SMB, SSH, TLS, BGP, OSPF и многие другие.
• Статистика — построение гистограмм, графиков потоков, сводок по разговорам (Conversations), протоколам, задержкам.
• Анализ последовательностей — инструмент Follow TCP Stream позволяет восстановить содержимое TCP-потока в читаемом виде.
• Экспорт — сохранение захваченных данных в формате pcap/pcapng, экспорт отдельных объектов (например, загруженных по HTTP файлов).

¶Устройство и технологическая основа

В основе работы Wireshark лежит библиотека захвата пакетов libpcap (в версиях для Windows — Npcap, разработанный на основе WinPcap). Эта библиотека предоставляет доступ к сетевому интерфейсу на уровне ниже стандартного стека протоколов операционной системы, что позволяет перехватывать все проходящие через адаптер пакеты, включая те, которые не адресованы данному хосту.

Интерфейс программы построен на кроссплатформенном наборе виджетов Qt. Архитектура разделяется на подсистему захвата, движок декодирования протоколов (dissector) и графический интерфейс. Механизм диссекторов модульный: каждый протокол реализован отдельным модулем, что позволяет сообществу добавлять поддержку новых протоколов без изменения ядра программы.

¶Форматы файлов

Wireshark использует форматы pcap (стандарт де-факто, разработанный ещё для tcpdump) и pcapng (Next Generation) — расширенный формат, поддерживающий метаданные, несколько интерфейсов и комментарии к пакетам. Записи pcap-файлов широко используются для обмена сетевыми снимками (pcap-дампами) между специалистами по безопасности и сетевому администрированию.

¶Применение

Wireshark применяется в следующих областях:

• Диагностика сетей — выявление причин потери пакетов, повышенной задержки, некорректной работы протоколов.
• Анализ безопасности — изучение сетевой активности, выявление подозрительного трафика, расследование инцидентов. Wireshark входит в набор инструментов специалистов по информационной безопасности.
• Разработка — отладка сетевых приложений и протоколов, проверка корректности реализации.
• Обучение — изучение принципов работы сетевых протоколов на практике; Wireshark традиционно используется в учебных курсах по компьютерным сетям.

¶Ограничения

Wireshark не предназначен для изменения или подавления трафика (для этого существуют специализированные инструменты). Программа не выполняет автоматического анализа угроз и не заменяет системы обнаружения вторжений. Перехват трафика на защищённых каналах (например, HTTPS) требует наличия соответствующих ключей шифрования. Захват трафика на удалённых хостах или в виртуальных сетях может потребовать дополнительной настройки.

¶Лицензия и распространение

Wireshark распространяется под лицензией GNU General Public License версии 2. Исходный код доступен на GitHub. Программа входит в состав большинства дистрибутивов Linux и доступна для загрузки с официального сайта проекта.

¶Интересные факты

• Wireshark является одним из самых загружаемых проектов на серверах разработки с открытым кодом.
• Ежегодно проводится конференция SharkFest, посвящённая обучению работе с программой.
• Среди пользователей Wireshark — специалисты практически всех крупных технологических компаний и государственных структур, занимающихся сетевой безопасностью.

Источники:

• Официальный сайт Wireshark (wireshark.org)
• Документация Wireshark User's Guide
• RFC 1761 / pcap format specification
• Combs G. Wireshark documentation and source code repository (GitHub)