Captura de pacotes
Um arquivo .pcap guarda cada pacote que passou pela rede, e o Wireshark mostra o que tem em cada um.
Tudo o que um computador manda pela rede vai em pedaços chamados pacotes. Um programa de captura copia cada pacote que passa pela placa de rede e grava num arquivo, normalmente com extensão .pcap. Depois dá para abrir esse arquivo com calma e ver quem falou com quem, quando e o quê.
A ferramenta mais usada para ler capturas é o Wireshark. A tela dele tem três partes:
| Parte | O que mostra |
|---|---|
| Lista de pacotes | Uma linha por pacote: número, tempo, origem, destino, protocolo e um resumo |
| Detalhes | O pacote selecionado aberto em camadas, do Ethernet até a aplicação |
| Bytes | O pacote cru, em hexadecimal à esquerda e em texto à direita |
Para não se perder em milhares de linhas, use o filtro de exibição, a barra no topo. Alguns exemplos:
ip.addr == 10.0.0.23 pacotes de ou para esse endereço
ip.dst == 10.0.0.23 só os que vão para esse endereço
udp.port == 53 só o tráfego na porta 53 (DNS)
tcp.flags.syn == 1 só os pacotes que abrem conexão TCP
Sem instalar nada, o Wireview (abre em nova aba) roda o motor do Wireshark no navegador: abre o arquivo, aceita os mesmos filtros e mostra os detalhes e os bytes. No terminal, tshark é o Wireshark em linha de comando, e tcpdump -r arquivo.pcap também lê a captura.
Capturar o tráfego é um dos primeiros passos de quem investiga um incidente: a captura registra o que aconteceu, e não o que alguém lembra.