Wireshark Network Traffic Analysis

Wireshark Network Traffic Analysis

Purpose

Execute análise abrangente de tráfego de rede usando Wireshark para capturar, filtrar e examinar pacotes de rede para investigações de segurança, otimização de desempenho e troubleshooting. Esta habilidade permite análise sistemática de protocolos de rede, detecção de anomalias e reconstrução de conversas de rede a partir de arquivos PCAP.

Inputs / Prerequisites

Required Tools

• Wireshark instalado (Windows, macOS ou Linux)
• Interface de rede com permissões de captura
• Arquivos PCAP/PCAPNG para análise offline
• Privilégios de administrador/root para captura ao vivo

Technical Requirements

• Compreensão de protocolos de rede (TCP, UDP, HTTP, DNS)
• Familiaridade com endereçamento IP e portas
• Conhecimento do modelo OSI em camadas
• Compreensão de padrões comuns de ataque

Use Cases

• Troubleshooting de rede e problemas de conectividade
• Investigação de incidentes de segurança
• Análise de tráfego de malware
• Monitoramento e otimização de desempenho
• Aprendizado de protocolos e educação

Outputs / Deliverables

Primary Outputs

• Capturas de pacotes filtradas para tráfego específico
• Fluxos de comunicação reconstruídos
• Estatísticas de tráfego e visualizações
• Documentação de evidências para incidentes

Core Workflow

Phase 1: Capturing Network Traffic

Start Live Capture

Comece a capturar pacotes na interface de rede:

1. Launch Wireshark
2. Select network interface from main screen
3. Click shark fin icon or double-click interface
4. Capture begins immediately

Capture Controls

Capture Filters

Aplique filtros antes da captura para limitar a coleta de dados:

# Capture only specific host
host 192.168.1.100

# Capture specific port
port 80

# Capture specific network
net 192.168.1.0/24

# Exclude specific traffic
not arp

# Combine filters
host 192.168.1.100 and port 443

Phase 2: Display Filters

Basic Filter Syntax

Filtre pacotes capturados para análise:

# IP address filters
ip.addr == 192.168.1.1              # All traffic to/from IP
ip.src == 192.168.1.1               # Source IP only
ip.dst == 192.168.1.1               # Destination IP only

# Port filters
tcp.port == 80                       # TCP port 80
udp.port == 53                       # UDP port 53
tcp.dstport == 443                   # Destination port 443
tcp.srcport == 22                    # Source port 22

Protocol Filters

Filtre por protocolos específicos:

# Common protocols
http                                  # HTTP traffic
https or ssl or tls                   # Encrypted web traffic
dns                                   # DNS queries and responses
ftp                                   # FTP traffic
ssh                                   # SSH traffic
icmp                                  # Ping/ICMP traffic
arp                                   # ARP requests/responses
dhcp                                  # DHCP traffic
smb or smb2                          # SMB file sharing

TCP Flag Filters

Identifique estados de conexão específicos:

tcp.flags.syn == 1                   # SYN packets (connection attempts)
tcp.flags.ack == 1                   # ACK packets
tcp.flags.fin == 1                   # FIN packets (connection close)
tcp.flags.reset == 1                 # RST packets (connection reset)
tcp.flags.syn == 1 && tcp.flags.ack == 0  # SYN-only (initial connection)

Content Filters

Procure por conteúdo específico:

frame contains "password"            # Packets containing string
http.request.uri contains "login"    # HTTP URIs with string
tcp contains "GET"                   # TCP packets with string

Analysis Filters

Identifique problemas potenciais:

tcp.analysis.retransmission          # TCP retransmissions
tcp.analysis.duplicate_ack           # Duplicate ACKs
tcp.analysis.zero_window             # Zero window (flow control)
tcp.analysis.flags                   # Packets with issues
dns.flags.rcode != 0                 # DNS errors

Combining Filters

Use operadores lógicos para consultas complexas:

# AND operator
ip.addr == 192.168.1.1 && tcp.port == 80

# OR operator
dns || http

# NOT operator
!(arp || icmp)

# Complex combinations
(ip.src == 192.168.1.1 || ip.src == 192.168.1.2) && tcp.port == 443

Phase 3: Following Streams

TCP Stream Reconstruction

Visualize conversa TCP completa:

1. Right-click on any TCP packet
2. Select Follow > TCP Stream
3. View reconstructed conversation
4. Toggle between ASCII, Hex, Raw views
5. Filter to show only this stream

Stream Types

Stream Analysis Tips

• Revise pares de solicitação/resposta
• Identifique arquivos ou dados transmitidos
• Procure por credenciais em texto simples
• Observe padrões ou comandos incomuns

Phase 4: Statistical Analysis

Protocol Hierarchy

Visualize distribuição de protocolos:

Statistics > Protocol Hierarchy

Shows:
- Percentage of each protocol
- Packet counts
- Bytes transferred
- Protocol breakdown tree

Conversations

Analise pares de comunicação:

Statistics > Conversations

Tabs:
- Ethernet: MAC address pairs
- IPv4/IPv6: IP address pairs
- TCP: Connection details (ports, bytes, packets)
- UDP: Datagram exchanges

Endpoints

Visualize participantes de rede ativos:

Statistics > Endpoints

Shows:
- All source/destination addresses
- Packet and byte counts
- Geographic information (if enabled)

Flow Graph

Visualize sequência de pacotes:

Statistics > Flow Graph

Options:
- All packets or displayed only
- Standard or TCP flow
- Shows packet timing and direction

I/O Graphs

Plote tráfego ao longo do tempo:

Statistics > I/O Graph

Features:
- Packets per second
- Bytes per second
- Custom filter graphs
- Multiple graph overlays

Phase 5: Security Analysis

Detect Port Scanning

Identifique atividade de reconhecimento:

# SYN scan detection (many ports, same source)
ip.src == SUSPECT_IP && tcp.flags.syn == 1

# Review Statistics > Conversations for anomalies
# Look for single source hitting many destination ports

Identify Suspicious Traffic

Filtre anomalias:

# Traffic to unusual ports
tcp.dstport > 1024 && tcp.dstport < 49152

# Traffic outside trusted network
!(ip.addr == 192.168.1.0/24)

# Unusual DNS queries
dns.qry.name contains "suspicious-domain"

# Large data transfers
frame.len > 1400

ARP Spoofing Detection

Identifique ataques ARP:

# Duplicate ARP responses
arp.duplicate-address-frame

# ARP traffic analysis
arp

# Look for:
# - Multiple MACs for same IP
# - Gratuitous ARP floods
# - Unusual ARP patterns

Examine Downloads

Analise transferências de arquivo:

# HTTP file downloads
http.request.method == "GET" && http contains "Content-Disposition"

# Follow HTTP Stream to view file content
# Use File > Export Objects > HTTP to extract files

DNS Analysis

Investigue atividade de DNS:

# All DNS traffic
dns

# DNS queries only
dns.flags.response == 0

# DNS responses only
dns.flags.response == 1

# Failed DNS lookups
dns.flags.rcode != 0

# Specific domain queries
dns.qry.name contains "domain.com"

Phase 6: Expert Information

Access Expert Analysis

Visualize achados automatizados do Wireshark:

Analyze > Expert Information

Categories:
- Errors: Critical issues
- Warnings: Potential problems
- Notes: Informational items
- Chats: Normal conversation events

Common Expert Findings

Quick Reference

Keyboard Shortcuts

Common Filter Reference

# Web traffic
http || https

# Email
smtp || pop || imap

# File sharing  
smb || smb2 || ftp

# Authentication
ldap || kerberos

# Network management
snmp || icmp

# Encrypted
tls || ssl

Export Options

File > Export Specified Packets    # Save filtered subset
File > Export Objects > HTTP       # Extract HTTP files
File > Export Packet Dissections   # Export as text/CSV

Constraints and Guardrails

Operational Boundaries

• Capture apenas tráfego de rede autorizado
• Manipule dados capturados de acordo com políticas de privacidade
• Evite capturar credenciais sensíveis desnecessariamente
• Proteja adequadamente arquivos PCAP contendo dados sensíveis

Technical Limitations

• Capturas grandes consomem memória significativa
• Conteúdo de tráfego criptografado não é visível sem chaves
• Redes de alta velocidade podem descartar pacotes
• Alguns protocolos requerem plugins para decodificação completa

Best Practices

• Use filtros de captura para limitar coleta de dados
• Salve capturas regularmente durante sessões longas
• Use filtros de exibição em vez de deletar pacotes
• Documente achados e metodologia de análise

Examples

Example 1: HTTP Credential Analysis

Scenario: Investigue possível transmissão de credencial em texto simples

1. Filter: http.request.method == "POST"
2. Look for login forms
3. Follow HTTP Stream
4. Search for username/password parameters

Finding: Credenciais transmitidas em dados de formulário em texto simples.

Example 2: Malware C2 Detection

Scenario: Identifique tráfego de comando e controle

1. Filter: dns
2. Look for unusual query patterns
3. Check for high-frequency beaconing
4. Identify domains with random-looking names
5. Filter: ip.dst == SUSPICIOUS_IP
6. Analyze traffic patterns

Indicators:

• Regular timing intervals
• Encoded/encrypted payloads
• Unusual ports or protocols

Example 3: Network Troubleshooting

Scenario: Diagnostique aplicação web lenta

1. Filter: ip.addr == WEB_SERVER
2. Check Statistics > Service Response Time
3. Filter: tcp.analysis.retransmission
4. Review I/O Graph for patterns
5. Check for high latency or packet loss

Finding: Retransmissões TCP indicando congestionamento de rede.

Troubleshooting

No Packets Captured

• Verifique se interface correta está selecionada
• Confirme permissões de admin/root
• Verifique se adaptador de rede está ativo
• Desabilite modo promíscuo se problemas persistirem

Filter Not Working

• Verifique sintaxe de filtro (vermelho = erro)
• Procure por erros de digitação em nomes de campo
• Use botão Expression para campos válidos
• Limpe filtro e reconstrua incrementalmente

Performance Issues

• Use filtros de captura para limitar tráfego
• Divida capturas grandes em arquivos menores
• Desabilite resolução de nomes durante captura
• Feche dissecadores de protocolo desnecessários

Cannot Decrypt TLS/SSL

• Obtenha chave privada do servidor
• Configure em Edit > Preferences > Protocols > TLS
• Para chaves efêmeras, capture pré-master secret do navegador
• Algumas cifras modernas não podem ser descriptografadas passivamente