Wireshark’ta PCAPNG kaydetmek
Yakalama dosyalarını bir delil gibi işlemeyi öğrenirsin: pcap ile pcapng farkı ve biçim dönüştürme, pakete ve dosyaya yorum eklemek, yalnızca istenen paketleri dışa aktarmak, büyük dosyaları bölmek ve birleştirmek, halka tamponla sürekli yakalama ve delilin SHA-256 özetini almak. Olay yakalaması her labda farklıdır.
Seviye 101 · 50 dk
Dün akşam bir iş istasyonunda şüpheli bir indirme oldu ve trafik kaydı SOC’ye geldi: ~/captures/olay.pcapng. Bu dosya artık bir delil: başkalarına verilecek, belki yıllarca saklanacak. Ekip liderin şöyle diyor: "Delili değiştirmeyiz; kopyasını alır, üzerinde not tutar, özetini kaydederiz."
pcap eski ve basit biçimdir: yalnızca paketler. pcapng (next generation) bugünkü varsayılandır: birden çok arayüz, paket ve dosya yorumları, ad çözümlemeleri ve yakalama bilgisi taşır. Çizimde iki biçimin farkını görüyorsun.
Wireshark ailesinin dosya araçları: capinfos (özet), editcap (dönüştür, böl, yorum ekle), mergecap (birleştir).
Bu derste ne yapacaksın
- Dosyanın biçimi
- Eski biçime dönüştür: editcap -F pcap
- Pakete not düş
- Dosyaya not: kimin, ne zaman?
- Yalnızca istenen paketler: Export Specified Packets
- Büyük dosyayı böl: editcap -c
- Yeniden birleştir: mergecap
- Halka tampon: diski doldurmadan sürekli yakalama
- Delil özeti
- Kısa sınav
Kazanacağın beceriler
- pcap ve pcapng biçimlerini ayırmak ve dönüştürmek
- editcap ile dönüştürmek, bölmek ve not eklemek
- Paket ve dosya yorumu eklemek
- Yalnızca istenen paketleri dışa aktarmak
- Yakalama dosyalarını birleştirmek (mergecap)
- Halka tamponla sürekli yakalamak
- Yakalama delilinin SHA-256 özetini almak
← Wireshark ile canlı yakalama · Wireshark temelleri · Wireshark görüntüleme süzgeçleri →
Ücretsiz başla