logo-einfuehrung-in-wireshark-40.png?nocache=1317719113820Dieser Tipp behandelt das kostenlose Tool "Wireshark" das zur Analyse von Netzwerkverkehr verwendet werden kann.

Wireshark ist ein sogenannter Sniffer, mit dem man Netzwerkverkehr mitschneiden und anschließend übersichtlich analysieren kann.

Unter Windows wird eine kompatible NIC benötigt, die den Einsatz von WinPcap, einer hardwarenahen Programmbibliothek und Treiber, unterstützt.

Installation von Wireshark

Führen Sie die Standardinstallation von Wireshark aus. Achten Sie dabei darauf, das Sie die Installation von WinPcap mit einschließen.

0-Wireshark-Installation-470.jpg?nocache=1317576508625

Konfiguraton von Wireshark

Wenn Sie Wireshark zum ersten mal starten, müssen Sie das Netzwerk Interface auswählen, dessen Netzwerkverkehr Sie analysieren wollen.

1-Wireshark-NIC-konfigurieren-470.jpg?nocache=1317576614767

Anschließend müssen die Capture- Optionen definiert werden. Klicken Sie hierzu in Wireshark auf "Capture Options". Hier legen Sie die Kriterien fest, nach welchen Mustern Sie scannen möchten.

2-Wireshark-Captuer-Optionen-470.jpg?nocache=1317576705970

Zuerst prüfen wir das ausgewählte Netzwerk Interface.

3-Wireshark-Captuer-Optionen-NIC-470.jpg?nocache=1317576837292

Promiscuous Mode

Wenn der Promiscuous Mode aktiviert wird, schneidet Wireshark den ganzen Traffic im Netzwerk mit, den es erkennen kann. Wird der Promiscuous Mode nicht aktiviert, wird nur der Traffic einbezogen, der direkt an unsere oben ausgewählte Netzwerkkarte geschickt wird.

4-Wireshark-Captuer-Optionen-Promiscuous-Mode-470.jpg?nocache=1317576896810

pcap-ng format

Wird dieser Punkt aktiviert, werden die Pakete im next-generation Format gecaptured.  Der Unterschied zwischen den Formaten liegt im Umfang der gesammelten Daten. pcap-ng verwendet z.B. einen erweiterten Zeitstempel, speichert zusätzliche Informationen über die NIC u.m. Der Übersichtlichkeit halber sollte zu Beginn darauf verzichtet werden.

5-Wireshark-Captuer-Optionen-pcap-ng-470.jpg?nocache=1317576986318

Limit each packet to

Hier kann die Größe eines jeden Pakets beschränkt werden. In der Größenangabe sind u.a. auch die Header inkludiert. Ist der Punkt deaktiviert, gibt es keine Begrenzung.

6-Wireshark-Captuer-Optionen-paket-limit-470.jpg?nocache=1317577069257

Filter

Um die sehr umfangreiche Ausgabe etwas einzuschränken, können Sie in Wireshark Filter definieren. Wenn Sie nur nach HTTP Traffic suchen, können Sie den vordefinierten Filter für HTTP benutzen. Klicken Sie dazu auf "Capture Filter".

7-Wireshark-Captuer-Optionen-Filter-470.jpg?nocache=1317577161627

Wählen Sie den gewünschten Filter, in unserem Fall fahren wir mit dem HTTP TCP port (80) Filter fort. Sie können auch eigene Filter definieren oder mehrer Filter kombinieren.

8-Wireshark-Captuer-Optionen-http-Filter-470.jpg?nocache=1317577250748

Klicken sie anschließend auf "OK".
Sie können den Capture Prozess auch zeitlich begrenzen. Hierzu wählen Sie das entsprechende Format (Packets,Bytes, Minuten) und tragen einen entsprechenden Wert ein.

9-Wireshark-Captuer-Optionen-Zeitfenster-470.jpg?nocache=1317577319541

Starten Sie nun den Capture Vorgang, indem Sie auf "Start" klicken.

11-Wireshark-Capture-Start-470.jpg?nocache=1317577386707

Anschließend haben Sie die Möglichkeit, die aufgezeichneten Pakete je nach Bedarf zu analysieren  und auszuwerten.

12-Wireshark-Capture-content-470.jpg?nocache=1317577814998

Das Capture kann nach unterschiedlichen Kriterien sortiert und ausgewertet werden. Durch einen Klick auf die Pakete bekommen Sie genauere Informationen angezeigt.

Je nach Anwendungsfall bietet Wireshark von Haus aus weitere und tiefgehendere Möglichkeiten zur Traffic Analyse.