Narzędzia statystyczne Wireshark stanowią kluczowy element zaawansowanej analizy ruchu sieciowego. W odróżnieniu od podstawowego przechwytywania pakietów, statystyki pozwalają na szybkie wychwycenie trendów, anomalii i wzorców behawioralnych w ruchu sieciowym bez konieczności ręcznego przeglądania każdego pakietu.

W ramach części czwartej cyklu omówione zostaną wszystkie istotne narzędzia z menu Statistics, a także techniki rekonstrukcji sesji (Follow Stream), eksportu obiektów, analizy eksperckiej oraz wykrywania zagrożeń bezpieczeństwa. Zdobyta wiedza umożliwi samodzielną analizę plików pcap w środowisku akademickim i zawodowym.

Plan czwartej prezentacji obejmuje zarówno zagadnienia podstawowe, jak i zaawansowane techniki analityczne. Kolejność omawianych tematów została zaprojektowana tak, aby stopniowo budować wiedzę - od prostych statystyk ogólnych (Summary), przez hierarchię protokołów, aż po zaawansowane narzędzia, takie jak TCP Stream Graphs i analiza VoIP.

Szczególny nacisk położono na praktyczne zastosowania: wykrywanie ataków sieciowych, analizę wydajności aplikacji oraz automatyzację analizy z wykorzystaniem Pythona. Studia przypadków na końcu prezentacji pokazują, jak w rzeczywistych scenariuszach wykorzystać poznane narzędzia do rozwiązania konkretnych problemów sieciowych.

Menu Statistics w Wireshark to centrum zaawansowanej analizy, dostępne bezpośrednio z górnego paska narzędzi. Każda z opcji tego menu dostarcza innego spojrzenia na przechwycony ruch: od zagregowanych podsumowań (Summary), przez rozkłady warstwowe (Protocol Hierarchy), aż po szczegółowe analizy połączeń i wykresy czasowe.

Zrozumienie możliwości każdego z tych narzędzi jest kluczowe dla efektywnej diagnostyki sieci. Doświadczony analityk potrafi w ciągu kilku minut, korzystając z menu Statistics, określić charakter ruchu, zidentyfikować dominujące protokoły, wykryć anomalie i wskazać potencjalne źródła problemów wydajnościowych lub bezpieczeństwa.

Okno Summary stanowi punkt wyjścia każdej analizy pliku pcap. Dostarcza informacji o czasie trwania przechwycenia, liczbie przechwyconych pakietów, średniej przepustowości w pakietach na sekundę (pps) oraz bajtach na sekundę. Te podstawowe metryki pozwalają na szybką ocenę, czy mamy do czynienia z typowym ruchem sieciowym, czy też z incydentem wymagającym głębszej analizy.

Szczególnie istotne są dane o pierwszym i ostatnim pakiecie - określają one ramy czasowe analizy. Liczba przefiltrowanych pakietów (displayed) w porównaniu z całkowitą liczbą (captured) informuje, jak skuteczny jest zastosowany filtr. Wartość Average pps powyżej kilku tysięcy dla łącza 1 Gb/s może sugerować ruch maszynowy, a nie generowany przez człowieka.

Protocol Hierarchy to hierarchiczny widok rozkładu protokołów w przechwyconym ruchu, prezentowany w formie drzewa. Każdy wiersz reprezentuje protokół, a kolumny pokazują liczbę pakietów, procentowy udział w całkowitym ruchu, liczbę bajtów oraz przepustowość w Mbitach na sekundę. Widok ten pozwala na natychmiastową ocenę, które protokoły dominują w analizowanym segmencie sieci.

Interpretacja procentów wymaga zrozumienia, że protokoły niższych warstw (Ethernet, IP) zawsze będą wykazywać 100% lub bliską 100% wartość, ponieważ każdy pakiet je zawiera. Dopiero protokoły warstwy aplikacji (HTTP, DNS, DHCP) pokazują rzeczywisty rozkład ruchu użytkowego. Nagła dominacja nietypowego protokołu (np. ICMP stanowiącego 90% ruchu) jest silnym sygnałem ostrzegawczym.

Porównanie normalnego ruchu HTTP z atakiem SYN flood na wykresie Protocol Hierarchy to doskonały przykład praktycznego zastosowania tego narzędzia. W normalnych warunkach ruch HTTP stanowi zazwyczaj 40-60% całkowitej liczby pakietów, a TCP około 90% (pozostałe 10% to UDP dla DNS, DHCP i innych usług). W przypadku ataku DDoS typu SYN flood udział TCP wzrasta do 100%, podczas gdy HTTP spada do 0%.

Ta gwałtowna zmiana proporcji wynika z faktu, że atakujący wysyła tysiące pakietów SYN na sekundę, ale nigdy nie kończy trójetapowego uzgadniania połączenia (handshake). Wireshark rejestruje wszystkie te pakiety jako TCP, ale żaden nie osiąga warstwy aplikacji HTTP. Podobny wzorzec można zaobserwować podczas skanowania portów narzędziem Nmap, gdzie samych pakietów SYN może być więcej niż całego pozostałego ruchu.

Okno Conversations w Wireshark agreguje ruch według par punktów końcowych na różnych warstwach modelu OSI. Na zakładce Ethernet widoczne są pary adresów MAC, co pozwala na analizę komunikacji na poziomie warstwy łącza danych. Zakładki IPv4 i IPv6 grupują ruch według adresów IP, a TCP i UDP według par adres IP:port, co jest najbardziej przydatne w diagnostyce aplikacji sieciowych.

Dla każdej rozmowy Wireshark prezentuje liczbę pakietów przesłanych w obu kierunkach, liczbę bajtów, czas rozpoczęcia i czas trwania rozmowy. Kolumny można sortować malejąco lub rosnąco, co ułatwia znalezienie najbardziej aktywnych par komunikujących się urządzeń. Funkcja "Apply as Filter" pozwala na błyskawiczne wyizolowanie ruchu wybranej pary, co jest szczególnie przydatne przy analizie ukierunkowanej na konkretny incydent.

Praktyczna praca z oknem Conversations wymaga znajomości kilku kluczowych operacji. Sortowanie po kolumnie Packets lub Bytes w porządku malejącym natychmiast wskazuje najbardziej aktywną parę komunikujących się urządzeń, co w przypadku podejrzenia ataku DDoS lub nietypowego transferu danych jest punktem startowym analizy.

Funkcja eksportu do CSV (Copy as CSV) umożliwia dalsze przetwarzanie danych w arkuszach kalkulacyjnych, co jest przydatne przy tworzeniu raportów i analizie statystycznej. Wireshark pozwala również na zastosowanie filtra wyświetlania bezpośrednio z poziomu Conversations, co znacząco przyspiesza pracę - zamiast ręcznie wpisywać filtry, wystarczy kliknąć prawym przyciskiem myszy i wybrać odpowiednią opcję.

Endpoints to narzędzie komplementarne względem Conversations - zamiast par adresów pokazuje pojedyncze punkty końcowe wykryte w przechwyconym ruchu. Również tutaj dostępne są zakładki dla różnych warstw (Ethernet, IPv4, IPv6, TCP, UDP). Każdy wpis zawiera adres, liczbę wysłanych i odebranych pakietów, liczbę bajtów oraz znaczniki czasowe pierwszego i ostatniego pakietu.

Endpoints są szczególnie przydatne do szybkiej inwentaryzacji hostów w sieci. Sortując według kolumny Packets, można w kilka sekund zidentyfikować, które urządzenia generują najwięcej ruchu. W połączeniu z funkcją "Apply as Filter" umożliwia to błyskawiczne przejście od widoku zagregowanego do szczegółowej analizy ruchu pojedynczego hosta, co jest standardową procedurą w diagnostyce sieciowej.

Identyfikacja najbardziej aktywnych hostów w sieci to jedno z podstawowych zadań analityka. W oknie Endpoints wystarczy posortować kolumnę Packets malejąco, aby uzyskać listę urządzeń uszeregowaną według ilości wygenerowanego ruchu. Jeśli pojedynczy host odpowiada za ponad 50% całego ruchu w sieci, jest to wyraźny sygnał wymagający dalszego zbadania.

Po zidentyfikowaniu podejrzanego hosta należy zastosować filtr wyświetlania, klikając prawym przyciskiem myszy na jego adres i wybierając "Apply as Filter" → "Selected". Następnie można przejść do IO Graph, Protocol Hierarchy i innych narzędzi, aby dokładnie przeanalizować charakter ruchu generowanego przez ten host. Może to być legalny serwer backupowy, serwis streamingowy, ale równie dobrze zainfekowana maszyna uczestnicząca w ataku DDoS.

IO Graph to jedno z najbardziej wszechstronnych narzędzi analitycznych w Wireshark. Wyświetla ono wykres słupkowy lub liniowy przedstawiający liczbę pakietów, bajtów lub bitów na jednostkę czasu. Domyślny interwał wynosi 1 sekundę, ale można go zmienić w zakresie od 1 milisekundy (wymagana precyzyjna synchronizacja czasu) do 10 sekund, w zależności od potrzeb analizy.

Kluczową zaletą IO Graph jest możliwość dodawania wielu linii z różnymi filtrami wyświetlania. Pozwala to na jednoczesne śledzenie ruchu różnych protokołów na jednym wykresie, co ułatwia identyfikację korelacji czasowych. Na przykład dodanie linii dla HTTP (kolor niebieski), DNS (zielony) i tcp.analysis.retransmission (czerwony) pozwala na szybkie sprawdzenie, czy wzrost retransmisji zbiega się w czasie ze zwiększonym ruchem HTTP.

Konfiguracja IO Graph oferuje szereg parametrów wpływających na czytelność i precyzję wykresu. Wybór odpowiedniego interwału (Interval) jest kluczowy: zbyt mały (np. 1 ms) generuje dużo szumu i utrudnia dostrzeżenie trendów, zbyt duży (np. 10 s) może ukryć krótkotrwałe skoki ruchu. Dla typowej analizy sieci LAN interwał 0,1-1 sekundy jest optymalny.

Jednostka (Unit) może być ustawiona na Packets/Tick (liczba pakietów), Bytes/Tick (liczba bajtów), Bits/Tick (liczba bitów) lub Advanced, gdzie dostępne są funkcje SUM, COUNT i FRAME. Styl wyświetlania (Line, Multi, Stack, Bar) wpływa na sposób prezentacji danych. W trybie Stack linie są układane jedna na drugiej, co pokazuje udział poszczególnych protokołów w całkowitym ruchu, podczas gdy Line pozwala na łatwiejsze porównanie trendów poszczególnych strumieni.

IO Graph znajduje zastosowanie w wielu scenariuszach analitycznych, od rutynowego monitorowania po zaawansowaną detekcję ataków. Nagły skok ruchu widoczny jako stroma krzywa w górę może wskazywać na rozpoczęcie backupu, pobieranie aktualizacji systemowej, a w przypadku braku uzasadnienia - na atak DDoS. Regularne, okresowe piki co stały odstęp czasu są charakterystyczne dla beaconingu malware łączącego się z serwerem C&C.

Filtr tcp.analysis.retransmission dodany jako osobna linia na IO Graph pozwala na monitorowanie kondycji sieci. W zdrowej sieci LAN retransmisje powinny stanowić mniej niż 0,1% wszystkich pakietów. Wzrost tego wskaźnika powyżej 1% wskazuje na poważne problemy: przeciążenie łącza, uszkodzone okablowanie, problemy z przełącznikiem lub zbyt małe okno TCP. IO Graph umożliwia wizualną korelację retransmisji z innymi zdarzeniami sieciowymi.

Flow Graph to wizualne narzędzie przedstawiające sekwencję pakietów TCP w formie diagramu przepływu między dwoma hostami. Strzałki skierowane w prawo oznaczają pakiety wysłane od pierwszego hosta do drugiego, a strzałki w lewo - pakiety w kierunku przeciwnym. Każda strzałka opatrzona jest numerem sekwencyjnym TCP, flagą oraz względnym znacznikiem czasu, co pozwala na szczegółową analizę sekwencji zdarzeń.

Flow Graph jest niezastąpiony przy diagnozowaniu problemów z nawiązywaniem i zamykaniem połączeń TCP. Na diagramie można w czytelny sposób prześledzić trójetapowe uzgadnianie (SYN, SYN-ACK, ACK), wymianę danych oraz sekwencję zamykania połączenia (FIN, ACK, FIN, ACK). Obecność pakietu RST (Reset) zamiast FIN w sekwencji zamykającej wskazuje na przymusowe zerwanie połączenia, często spowodowane błędem aplikacji, timeoutem lub działaniem firewalla.

Trójetapowe uzgadnianie połączenia TCP (three-way handshake) jest fundamentalnym mechanizmem działania protokołu TCP i doskonale widocznym na wykresie Flow Graph. Klient inicjuje połączenie, wysyłając pakiet z ustawioną flagą SYN i losowym numerem sekwencyjnym (np. SEQ=1000). Serwer odpowiada pakietem SYN-ACK, potwierdzając otrzymanie SYN (ACK=1001) i wysyłając własny numer sekwencyjny (SEQ=2000).

Klient kończy uzgadnianie, wysyłając pakiet ACK z numerem potwierdzenia 2001. Od tego momentu obie strony mogą rozpocząć wymianę danych. Flow Graph w czytelny sposób ilustruje również proces zamykania połączenia: każda strona wysyła FIN, który musi zostać potwierdzony ACK. Jeśli zamiast FIN pojawi się RST, oznacza to, że jedna ze stron przerwała połączenie bez prawidłowego zamknięcia, co może świadczyć o błędzie aplikacji lub celowym działaniu atakującego.

TCP Stream Graphs to zaawansowane narzędzia analityczne dostępne z menu Statistics po zaznaczeniu konkretnego pakietu należącego do badanej sesji TCP. Wireshark oferuje pięć typów wykresów: Time-Sequence (Stevens), Time-Sequence (tcp-trace), Throughput, Round Trip Time i Window Scaling. Każdy z tych wykresów dostarcza innych informacji o charakterystyce wybranej sesji TCP.

Aby skorzystać z TCP Stream Graphs, należy najpierw zaznaczyć dowolny pakiet w analizowanej sesji TCP, a następnie wybrać Statistics → TCP Stream Graphs i odpowiedni typ wykresu. Wykres otworzy się w nowym oknie, prezentując dane dla całej sesji. W przypadku sesji przesyłających duże ilości danych (np. transfer plików) wykresy TCP są szczególnie wartościowe, ponieważ pozwalają na identyfikację wąskich gardeł wydajnościowych.

Wykres Time-Sequence (Stevens) przedstawia numery sekwencyjne TCP w funkcji czasu, co pozwala na wizualną ocenę szybkości transmisji i zachowania okna TCP. Punkty na wykresie reprezentują poszczególne pakiety wysłane w sesji, a ich nachylenie (im bardziej stromo, tym szybciej dane są wysyłane) odzwierciedla szybkość transmisji w danym momencie.

Płaskie odcinki na wykresie (plateaus) są szczególnie istotne diagnostycznie. Oznaczają one, że nadawca wstrzymał wysyłanie danych, czekając na potwierdzenie (ACK) już wysłanych segmentów. Jeśli plateau pojawiają się często i trwają długo, świadczy to o problemach z wydajnością połączenia - najprawdopodobniej zbyt małym oknie TCP lub dużej utracie pakietów. Retransmisje są widoczne jako pakiety z tym samym numerem sekwencyjnym pojawiające się w późniejszym czasie, co tworzy charakterystyczne poziome "skoki" na wykresie.

Wykres Round Trip Time (RTT) prezentuje zmierzone opóźnienie dla każdego segmentu TCP w obrębie analizowanej sesji. Wireshark oblicza RTT jako czas pomiędzy wysłaniem segmentu a otrzymaniem potwierdzenia (ACK) dla niego. Jest to jeden z najważniejszych wskaźników wydajności połączenia TCP, ponieważ bezpośrednio wpływa na szybkość transmisji - im wyższe RTT, tym wolniej rośnie okno TCP.

Interpretacja wyników RTT wymaga znajomości charakterystyki sieci. W sieci LAN wartości RTT poniżej 1 ms są normą i świadczą o prawidłowo działającej infrastrukturze. W sieci WAN typowe RTT wynosi od 5 do 50 ms w zależności od odległości, a dla połączeń satelitarnych może sięgać 500-800 ms. Gwałtowne skoki RTT (bufferbloat) wskazują na przeciążenie buforów w przełącznikach lub routerach, co jest częstym problemem w sieciach z włączonymi dużymi kolejkami FIFO.

Service Response Time (SRT) to narzędzie mierzące czas pomiędzy wysłaniem żądania a otrzymaniem odpowiedzi dla wybranych protokołów aplikacyjnych. Wireshark obsługuje SRT dla protokołów SMB, DCERPC, NFS, Fibre Channel, H.225 oraz SBCP. Pomiar ten jest szczególnie przydatny w diagnostyce wydajności serwerów plików i usług katalogowych, gdzie nawet niewielkie opóźnienia mogą być odczuwalne przez użytkowników.

Okno SRT prezentuje dla każdego wywołania minimalny, średni i maksymalny czas odpowiedzi, liczbę wywołań oraz histogram rozkładu czasów. Na przykład dla protokołu SMB średni czas odpowiedzi wynoszący 2 ms świadczy o dobrze działającym serwerze plików, podczas gdy pojedyncze wartości powyżej 100 ms mogą wskazywać na problemy z dyskiem lub przeciążenie serwera. Histogram pozwala na szybką ocenę, czy większość odpowiedzi mieści się w akceptowalnym zakresie.

Statystyki DHCP w Wireshark agregują wszystkie komunikaty protokołu DHCP (Dynamic Host Configuration Protocol) przechwycone w pliku pcap. Narzędzie to pozwala na szybkie przejrzenie sekwencji DHCP Discover, Offer, Request i ACK, co jest szczególnie przydatne przy diagnozowaniu problemów z przydzielaniem adresów IP klientom w sieci lokalnej.

W oknie statystyk DHCP można sprawdzić, które adresy IP zostały przydzielone, jaki był czas dzierżawy (lease time) oraz które adresy MAC klientów uczestniczyły w komunikacji. Jeśli klient nie otrzymuje adresu IP, w statystykach będzie widoczny komunikat DHCP NAK (Negative Acknowledgment) wysłany przez serwer, co pozwala na szybkie zidentyfikowanie przyczyny problemu - na przykład wyczerpania puli adresowej lub konfliktu adresów IP.

Statystyki DNS w Wireshark dostarczają zagregowanych informacji o całym ruchu DNS w przechwyconym pliku. Narzędzie to dzieli zapytania według typów rekordów (A, AAAA, MX, CNAME, PTR, SRV, TXT) oraz odpowiedzi według kodów błędów (No Error, NXDOMAIN, SERVFAIL, REFUSED). Dzięki temu można szybko ocenić kondycję infrastruktury DNS w analizowanej sieci.

Szczególnie przydatna jest lista najczęściej zapytywanych domen oraz statystyki czasów odpowiedzi. Jeśli określona domena generuje wiele zapytań z kodem NXDOMAIN (nie istnieje), może to wskazywać na błędną konfigurację aplikacji lub działanie malware próbującego łączyć się z nieistniejącymi serwerami C&C. Wysokie czasy odpowiedzi DNS (powyżej 100 ms) sugerują problemy z serwerem DNS lub opóźnienia w sieci WAN.

Statystyki HTTP w Wireshark oferują trzy pod-opcje: HTTP Load Distribution, HTTP Requests oraz HTTP Packet Counter. HTTP Load Distribution pokazuje rozkład żądań według serwera docelowego (Host), co pozwala na identyfikację, które serwery WWW są najbardziej obciążone w analizowanym okresie. Jest to szczególnie przydatne przy diagnostyce farm serwerów i równoważenia obciążenia (load balancing).

HTTP Requests wyświetla szczegółową listę wszystkich żądań HTTP z informacjami o metodzie, URI, kodzie odpowiedzi, długości treści i czasie odpowiedzi. HTTP Packet Counter grupuje statystyki według hosta, metody, kodu statusu i typu zawartości (Content-Type). Dzięki temu można szybko sprawdzić, jakie typy plików są najczęściej przesyłane, które żądania kończą się błędem 404 lub 500, oraz które metody HTTP dominują w ruchu.

HTTP Packet Counter to narzędzie agregujące dane o ruchu HTTP według czterech wymiarów: hosta docelowego, metody HTTP (GET, POST, PUT, DELETE, HEAD), kodu odpowiedzi (200, 301, 404, 500) oraz typu zawartości (text/html, image/jpeg, application/json). Każdy z tych wymiarów można przeglądać w osobnej zakładce, co ułatwia wielowymiarową analizę ruchu WWW.

Praktyczne zastosowanie: jeśli w zakładce Status Code zauważymy, że 15% odpowiedzi to kod 404 (Not Found), oznacza to, że strona WWW zawiera zepsute odnośniki do zasobów. Host z największą liczbą żądań to prawdopodobnie główny serwer aplikacji. Analiza Content-Type pozwala na określenie, czy w ruchu dominują strony HTML, obrazy, skrypty JS czy dane JSON, co ma znaczenie przy optymalizacji wydajności i konfiguracji cachowania.

HTTP Requests to lista wszystkich żądań HTTP zarejestrowanych w przechwyconym pliku, wraz z czasem względnym, metodą, URI, hostem, kodem odpowiedzi, długością treści oraz czasem odpowiedzi (delta między żądaniem a odpowiedzią). Jest to jedno z najczęściej używanych narzędzi przy analizie wydajności stron WWW, ponieważ pozwala na zidentyfikowanie najwolniejszych żądań.

Sortując listę według czasu odpowiedzi malejąco, można w kilka sekund znaleźć zasoby, które najbardziej spowalniają ładowanie strony. Czas odpowiedzi powyżej 1 sekundy dla pojedynczego żądania jest już odczuwalny dla użytkownika, a powyżej 3 sekund znacząco wpływa na komfort przeglądania. Szczególnie wolne żądania (powyżej 5 sekund) wymagają dalszej analizy - przyczyną może być przeciążenie serwera, wolne zapytanie do bazy danych lub problem z siecią CDN.

Statystyki TLS w Wireshark prezentują szczegółowe informacje o wszystkich sesjach TLS/SSL wykrytych w przechwyconym ruchu. Dla każdej sesji podawana jest wersja protokołu (TLS 1.0, 1.1, 1.2, 1.3), zastosowany szyfr (cipher suite), długość klucza sesji, adresy IP i porty oraz czas trwania sesji. Narzędzie to jest nieocenione przy audytach bezpieczeństwa zgodności z normami PCI DSS lub przepisami RODO.

Z punktu widzenia bezpieczeństwa szczególnie istotne jest wykrywanie przestarzałych wersji TLS. TLS 1.0 i 1.1 zostały wycofane przez IETF (RFC 8996) w marcu 2021 roku i nie powinny być już używane w żadnej sieci produkcyjnej. Również słabe szyfry, takie jak RC4, 3DES czy eksportowe szyfry RSA, powinny natychmiast zwrócić uwagę analityka. W idealnej konfiguracji serwer powinien wspierać wyłącznie TLS 1.2 i 1.3 z silnymi szyframi AES-GCM lub ChaCha20-Poly1305.

Follow TCP Stream to jedna z najważniejszych funkcji Wireshark do rekonstrukcji sesji aplikacyjnych. Po kliknięciu prawym przyciskiem myszy na dowolny pakiet TCP i wybraniu Follow → TCP Stream, Wireshark składa wszystkie pakiety należące do tej samej sesji TCP w kolejności chronologicznej, usuwa nagłówki warstw niższych (Ethernet, IP, TCP) i prezentuje czystą treść warstwy aplikacji.

Domyślnie ruch klienta jest wyświetlany kolorem niebieskim (lub czerwonym w zależności od ustawień), a ruch serwera kolorem zielonym (lub szarym). Taki podział kolorystyczny ułatwia odróżnienie kierunku komunikacji. Follow TCP Stream jest szczególnie przydatny przy analizie protokołów tekstowych, takich jak HTTP (pełne żądania i odpowiedzi), SMTP (treść wiadomości e-mail), FTP (komendy i odpowiedzi) oraz POP3 i IMAP.

Okno Follow TCP Stream oferuje kilka opcji wyświetlania danych, dostępnych z rozwijanej listy "Show and save data as". Tryb ASCII jest domyślny i odpowiedni dla protokołów tekstowych (HTTP, SMTP, FTP). Hex Dump pokazuje dane w postaci szesnastkowej z równoległym podglądem ASCII, co jest przydatne przy analizie protokołów binarnych.

Tryb C Arrays prezentuje dane w formacie tablicy języka C, co ułatwia wklejenie zawartości strumienia do kodu źródłowego. Tryb Raw wyświetla surowe bajty i pozwala na zapis strumienia do pliku za pomocą przycisku "Save As...". Opcja wyboru kierunku (całość, klient→serwer, serwer→klient) umożliwia filtrowanie pokazywanych danych według kierunku transmisji, co jest szczególnie przydatne, gdy interesuje nas tylko to, co wysłał klient lub tylko to, co odpowiedział serwer.

Rekonstrukcja sesji TCP za pomocą Follow TCP Stream pozwala na podgląd pełnej treści komunikacji między klientem a serwerem. Dla protokołu HTTP widać całe żądanie z metodą, URI, nagłówkami i ciałem, a następnie odpowiedź serwera z kodem statusu, nagłówkami i treścią. Dzięki temu można przeanalizować dokładnie, co zostało przesłane, bez potrzeby ręcznego składania pakietów.

Dla protokołu SMTP Follow TCP Stream pokazuje całą sekwencję komend: EHLO, MAIL FROM, RCPT TO, DATA oraz treść wiadomości e-mail. W przypadku FTP widoczne są komendy wysyłane przez klienta (USER, PASS, LIST, RETR, STOR) oraz odpowiedzi serwera z kodami numerycznymi. Ta funkcja jest również wykorzystywana w analizie śledczej do odzyskiwania treści komunikacji z przechwyconego ruchu sieciowego.

Follow UDP Stream działa analogicznie do Follow TCP Stream, ale dla protokołów bezpołączeniowych opartych na UDP. Ponieważ UDP nie nawiązuje sesji w rozumieniu TCP (brak handshake i numerów sekwencyjnych), Wireshark grupuje pakiety według pary adresów IP i portów (źródłowego i docelowego). Wszystkie pakiety UDP o tych samych adresach i portach są traktowane jako jeden strumień.

Follow UDP Stream znajduje zastosowanie głównie przy analizie protokołów DNS, gdzie pozwala na prześledzenie zapytań i odpowiedzi DNS w surowej postaci, oraz DHCP, gdzie widoczne są wszystkie cztery etapy przydzielania adresu IP (Discover, Offer, Request, ACK). W przypadku strumieni RTP (audio/wideo) dane są binarne i trudne do ręcznej interpretacji, ale nadal możliwe jest wyodrębnienie strumienia i zapisanie go do pliku.

Follow TLS Stream umożliwia podgląd odszyfrowanej treści ruchu TLS, ale wymaga dostarczenia odpowiednich kluczy do deszyfrowania. Wireshark obsługuje dwa mechanizmy: plik z kluczem prywatnym serwera (RSA key) dla starszych wersji TLS oraz plik (Pre-)Master Secret log dla TLS 1.2 i 1.3. Ten drugi mechanizm jest zalecany, ponieważ działa z nowoczesnymi protokołami i nie wymaga dostępu do klucza prywatnego serwera.

Aby skonfigurować deszyfrowanie TLS, należy przejść do Preferences → Protocols → TLS i wskazać plik (Pre-)-Master-Secret log filename. Przeglądarki Firefox, Chrome i Edge mogą zapisywać klucze sesji do pliku, jeśli ustawi się zmienną środowiskową SSLKEYLOGFILE. Po poprawnej konfiguracji Follow TLS Stream będzie pokazywał odszyfrowaną treść, na przykład żądania HTTP/2 lub HTTP/3, co jest nieocenione przy analizie nowoczesnych aplikacji webowych.

Follow HTTP Stream to wygodny skrót do Follow TCP Stream z automatycznie zastosowanym filtrem HTTP. Gdy klikniemy prawym przyciskiem na pakiet HTTP i wybierzemy Follow → HTTP Stream, Wireshark automatycznie identyfikuje sesję TCP zawierającą ten pakiet i otwiera okno Follow TCP Stream, pokazując tylko dane warstwy aplikacji HTTP.

Różnica między Follow HTTP Stream a zwykłym Follow TCP Stream jest minimalna i sprowadza się do wygody użytkowania. W praktyce Follow HTTP Stream jest szybszy, ponieważ nie wymaga ręcznego przełączania między widokami. Warto jednak pamiętać, że nie wszystkie implementacje Wireshark oferują tę opcję dla wszystkich protokołów - w razie jej braku zawsze można skorzystać z uniwersalnego Follow TCP Stream.

Export Objects HTTP to narzędzie umożliwiające wyodrębnienie wszystkich plików przesłanych przez protokół HTTP z przechwyconego pliku pcap. Wireshark skanuje dane i identyfikuje obiekty MIME (obrazy JPG, PNG, GIF, skrypty JS, arkusze CSS, dokumenty PDF, archiwa ZIP) przesyłane w odpowiedziach HTTP. Każdy znaleziony obiekt jest prezentowany w formie listy z nazwą, hostem, typem MIME, rozmiarem i kodem odpowiedzi.

Export Objects to potężne narzędzie w analizie forensycznej i bezpieczeństwie. Pozwala na odzyskanie plików, które podejrzany pobrał z serwera WWW, bez konieczności dostępu do tego serwera. Można wyodrębnić malware przesyłane przez protokół HTTP, obrazy przesłane na czacie, dokumenty pobrane przez użytkownika, a nawet zasoby, które były cachowane przez przeglądarkę. Wskazówka: zawsze eksportuj wszystkie obiekty przed zamknięciem pliku pcap, ponieważ mogą zawierać kluczowe dowody.

Export Objects HTTP znajduje szerokie zastosowanie zarówno w rutynowej analizie, jak i w dochodzeniach śledczych. W codziennej pracy administratora sieci narzędzie to pozwala na szybkie sprawdzenie, jakie pliki są przesyłane przez użytkowników, co jest szczególnie przydatne przy monitorowaniu polityk bezpieczeństwa. W analizie forensycznej Export Objects umożliwia odzyskanie plików, które mogły zostać usunięte z dysku twardego, ale pozostały w przechwyconym ruchu sieciowym.

Z punktu widzenia bezpieczeństwa należy zwracać uwagę na pliki o nietypowych typach MIME lub podejrzanych rozszerzeniach (.exe, .scr, .vbs, .ps1) przesyłane przez HTTP. Jeśli widzisz nieznany Content-Type lub plik o nietypowej nazwie, może to być próba przesłania malware. Wskazówka: po wyodrębnieniu plików warto przeskanować je programem antywirusowym lub przesłać do analizy na platformę VirusTotal.

Export Objects SMB umożliwia wyodrębnienie plików przesyłanych przez protokół SMB/CIFS, stosowany w sieciach Windows do udostępniania plików i drukarek. Wireshark rekonstruuje pliki z przechwyconego ruchu SMB zarówno w wersji 1 (SMBv1, przestarzała i niebezpieczna), jak i w wersjach 2 i 3 (SMBv2, SMBv3), które są domyślnie używane w nowoczesnych systemach Windows.

Narzędzie to jest szczególnie przydatne w analizie śledczej dotyczącej nieautoryzowanego dostępu do udziałów sieciowych. Jeśli podejrzewamy, że osoba nieuprawniona skopiowała pliki z serwera plików, możemy odzyskać te pliki z przechwyconego ruchu SMB i sprawdzić ich zawartość. Wskazówka: przy analizie SMB warto zwrócić uwagę na wersję protokołu - SMBv1 jest wysoce niezalecany ze względu na podatność EternalBlue wykorzystywaną przez ransomware WannaCry.

Export Objects TFTP wyodrębnia pliki przesyłane przez Trivial File Transfer Protocol, czyli uproszczoną wersję FTP działającą na porcie UDP 69. TFTP jest powszechnie stosowany w sieciach korporacyjnych do konfiguracji urządzeń sieciowych (routerów, przełączników), bootowania bezdyskowych stacji roboczych (PXE) oraz aktualizacji oprogramowania układowego (firmware) w urządzeniach VoIP i kamerach IP.

Z punktu widzenia bezpieczeństwa TFTP jest protokołem problematycznym, ponieważ nie oferuje żadnego uwierzytelniania ani szyfrowania. Każdy, kto ma dostęp do sieci, może odczytać lub zapisać pliki na serwerze TFTP, jeśli ten jest nieprawidłowo skonfigurowany. W analizie śledczej Export Objects TFTP pozwala na odzyskanie konfiguracji routera, która została pobrana przez atakującego, lub plików, które zostały przesłane na serwer w ramach eksfiltracji danych.

Export Objects w kontekście analizy forensycznej to kluczowe narzędzie do odzyskiwania dowodów z przechwyconego ruchu sieciowego. W dochodzeniach dotyczących wycieku danych, infekcji malware czy nieautoryzowanego dostępu, Export Objects pozwala na odtworzenie plików, które były przesyłane przez sieć, bez konieczności dostępu do serwerów źródłowych. Jest to szczególnie ważne, gdy serwer znajduje się w jurysdykcji zagranicznej lub został już wyłączony.

Podczas pracy z Export Objects w kontekście śledczym należy zachować łańcuch dowodowy (chain of custody). Każdy wyodrębniony plik powinien być opatrzony informacją o źródle (nazwa pliku pcap, numer pakietu, znacznik czasu), a wszystkie operacje powinny być dokumentowane. W praktyce zaleca się zapisywanie plików na osobnym nośniku z zabezpieczeniem przed zapisem (write blocker) i przechowywanie ich w sposób uniemożliwiający modyfikację.

Expert Info to wbudowany system ekspercki Wireshark, który automatycznie analizuje przechwycony ruch i oznacza zdarzenia potencjalnie istotne diagnostycznie. Dostęp do Expert Info można uzyskać przez Analyze → Expert Info lub klikając ikonę diamentu w lewym dolnym rogu okna Wireshark. System dzieli wykryte zdarzenia na cztery kategorie według stopnia ważności.

Errors (czerwony) to błędy krytyczne - uszkodzone pakiety, błędne sumy kontrolne, nieprawidłowe formaty protokołów. Warnings (żółty) to ostrzeżenia o potencjalnych problemach - retransmisje TCP, duplikaty ACK, zerowe okno TCP. Notes (niebieski) to uwagi diagnostyczne - opóźnienia między pakietami, zmiany rozmiaru okna. Chats (fioletowy) to standardowe zdarzenia komunikacyjne - SYN, SYN-ACK, FIN, ACK, żądania HTTP. Kliknięcie w dowolne zdarzenie przenosi do odpowiedniego pakietu w głównym oknie.

Szczegółowy podział komunikatów Expert Info na cztery grupy kolorystyczne ułatwia szybką nawigację i priorytetyzację problemów. Tabela zaprezentowana na slajdzie podsumowuje znaczenie każdej grupy oraz przykłady typowych komunikatów. W praktyce analityk powinien zawsze zaczynać od sprawdzenia czerwonych błędów (Errors), ponieważ wskazują one na krytyczne problemy wymagające natychmiastowej uwagi.

W drugiej kolejności należy przejść do żółtych ostrzeżeń (Warnings), wśród których najczęściej występują retransmisje TCP. W zdrowej sieci retransmisje nie powinny przekraczać 0,1% wszystkich pakietów. Jeśli ich liczba jest znacząco wyższa, należy zbadać przyczynę - może nią być przeciążenie łącza, uszkodzone okablowanie, problem z przełącznikiem lub zbyt małe okno TCP po stronie nadawcy. Niebieskie uwagi (Notes) i fioletowe informacje (Chats) mają niższy priorytet, ale mogą dostarczać cennych wskazówek diagnostycznych.

Praktyczne zastosowanie Expert Info w codziennej diagnostyce rozpoczyna się od otwarcia okna Expert Info zaraz po załadowaniu pliku pcap (skrót Shift+Ctrl+E). Należy sprawdzić, czy występują jakiekolwiek błędy - jeśli tak, analiza powinna rozpocząć się od nich. Przykładowa sesja analityczna: widzimy 500 komunikatów "TCP Retransmission" na 10 000 pakietów, czyli 5% retransmisji.

Taki poziom retransmisji jest zdecydowanie zbyt wysoki i wskazuje na poważny problem sieciowy. Możliwe przyczyny to: przeciążenie łącza (przepustowość niewystarczająca dla generowanego ruchu), uszkodzone okablowanie (zwiększona liczba błędów bitowych wymuszających retransmisje), problemy z przełącznikiem (przepełnione bufory, złe ustawienia flow control) lub zbyt małe okno TCP (niewłaściwa konfiguracja systemu operacyjnego). Każdą z tych przyczyn należy sprawdzić krok po kroku.

Porównywanie dwóch plików pcap jest przydatne w wielu scenariuszach: przed i po zmianie konfiguracji sieci, porównanie ruchu w różnych porach dnia, analiza skuteczności aktualizacji zabezpieczeń. Wireshark nie oferuje wbudowanego narzędzia do automatycznego porównywania, ale można to zrobić na kilka alternatywnych sposobów opisanych na slajdzie.

Najprostszą metodą jest otwarcie dwóch plików w osobnych instancjach Wireshark i ręczne porównanie statystyk. Bardziej zaawansowanym podejściem jest użycie narzędzia editcap (część pakietu Wireshark) do przycinania i manipulowania plikami, a następnie porównanie ich za pomocą skryptów. Narzędzie pcapdiff, napisane w Pythonie, automatyzuje porównywanie dwóch plików pcap i wskazuje różnice w liczbie pakietów, protokołach, rozmowach i innych parametrach. Do zaawansowanej analizy statystycznej można użyć tshark do eksportu pól do CSV i porównania narzędziami diff.

Wireshark jest szeroko stosowany w analizie bezpieczeństwa sieciowego, ponieważ umożliwia wykrywanie wielu typów ataków na podstawie charakterystycznych wzorców ruchu. Podstawą jest znajomość typowych sygnatur ataków i umiejętność tworzenia filtrów wyświetlania do ich wykrywania. Wireshark sam w sobie nie jest systemem IDS, ale odpowiednio skonfigurowany może służyć jako skuteczne narzędzie detekcyjne.

Do najczęściej wykrywanych zagrożeń należą: skanowanie portów (SYN scan, FIN scan, Xmas scan), zatruwanie ARP (ARP spoofing), ataki DDoS (SYN flood, UDP flood, ICMP flood), beaconing malware do serwerów C&C oraz próby eksploitacji (SQL injection, XSS w ruchu HTTP). Wiele profesjonalnych systemów IDS/IPS (Snort, Suricata, Zeek) opiera się na tej samej bibliotece libpcap, co Wireshark, i stosuje podobne mechanizmy analizy sygnatur i anomalii.

Wykrywanie skanowania portów w Wireshark opiera się na identyfikacji nietypowych wzorców pakietów TCP. Skanowanie SYN (half-open scan) polega na wysyłaniu pakietów z flagą SYN na wiele różnych portów z jednego źródła, bez kończenia uzgadniania połączenia. Filtr tcp.flags.syn == 1 and tcp.flags.ack == 0 wyświetla tylko pakiety SYN bez potwierdzenia, co pozwala na szybkie wykrycie skanowania.

Skanowanie FIN polega na wysyłaniu pakietów z flagą FIN do zamkniętych portów - zgodnie z RFC 793, zamknięty port powinien odpowiedzieć pakietem RST, podczas gdy otwarty port zignoruje FIN. Filtr tcp.flags.fin == 1 and tcp.flags.ack == 0 pozwala na wykrycie tego typu skanowania. Skanowanie Xmas (FIN+URG+PSH) można wykryć filtrem tcp.flags == 0x029. Jeśli z jednego adresu IP w krótkim czasie (kilka sekund) widzimy pakiety SYN do wielu różnych portów, mamy do czynienia ze skanowaniem.

ARP spoofing (ARP poisoning) to technika ataku w warstwie łącza danych, polegająca na wysyłaniu fałszywych odpowiedzi ARP, w których atakujący podszywa się pod adres MAC innego hosta w sieci. Celem jest przechwycenie ruchu kierowanego do ofiary (man-in-the-middle) lub blokada komunikacji (denial of service). ARP spoofing jest szczególnie niebezpieczny w sieciach lokalnych, ponieważ działa na poziomie warstwy 2, poza kontrolą firewalla.

Wireshark wykrywa ARP spoofing na kilka sposobów. Najprostszym jest sprawdzenie, czy dwa różne adresy MAC są przypisane do tego samego adresu IP w oknie Conversations → Ethernet. Można również użyć filtra arp.duplicate-address-detected, który pokazuje pakiety ARP z wykrytym konfliktem adresów. W Expert Info Wireshark automatycznie oznacza takie zdarzenia jako "Duplicate IP address detected". Charakterystycznym objawem ataku są również nienaturalnie częste odpowiedzi ARP pojawiające się bez odpowiadających im zapytań.

Atak DDoS (Distributed Denial of Service) charakteryzuje się wysyłaniem ogromnej liczby pakietów z wielu rozproszonych źródeł do jednego celu, w celu wyczerpania jego zasobów sieciowych lub obliczeniowych. W Wireshark atak DDoS można zidentyfikować na podstawie kilku charakterystycznych wzorców widocznych w różnych narzędziach statystycznych.

Na wykresie IO Graph atak DDoS objawia się jako gwałtowny, stały wzrost ruchu do jednego celu, przyjmujący kształt płaskiego plateau na wysokim poziomie. W oknie Conversations widać, że jeden host docelowy ma tysiące rozmów z różnymi adresami źródłowymi. W Endpoints wiele adresów źródłowych kieruje ruch do jednego adresu IP. W Protocol Hierarchy dominuje jeden protokół - w przypadku ataku SYN flood będzie to TCP, w przypadku UDP flood - UDP, w przypadku ICMP flood - ICMP. Typowym przykładem jest 50 000 pakietów do portu 80 z 500 różnych adresów IP w ciągu 10 sekund.

Beaconing to technika stosowana przez malware do regularnego komunikowania się z serwerem Command & Control (C&C). Zainfekowana maszyna okresowo wysyła krótkie pakiety do serwera C&C, informując o swojej aktywności i odbierając komendy. Charakterystyczną cechą beaconingu jest regularność - połączenia występują co stały odstęp czasu (np. co 30 sekund, 60 sekund, 5 minut).

W Wireshark beaconing można wykryć za pomocą IO Graph z interwałem 1 sekundy i filtrem wyświetlania dla podejrzanego protokołu. Jeśli na wykresie widoczne są regularne piki ruchu o stałych odstępach czasowych, jest to silna wskazówka beaconingu. Dodatkowo w Conversations widać krótkie, stałe połączenia do tego samego serwera, a w DNS - zapytania do nietypowych domen generowanych przez algorytmy DGA (Domain Generation Algorithm). Filtr http.request.method == POST pozwala na identyfikację hostów regularnie wysyłających żądania POST z małym payloadem.

Packet Comments to funkcja umożliwiająca dodawanie adnotacji do poszczególnych pakietów w przechwyconym pliku. Komentarz można dodać, klikając prawym przyciskiem myszy na pakiet i wybierając "Packet Comment" lub używając skrótu Ctrl+Alt+C. Komentarze są szczególnie przydatne podczas zespołowej analizy plików pcap, gdy kilku analityków pracuje nad tym samym przechwyceniem.

Komentarze są zapisywane bezpośrednio w pliku pcapng (nie w starym formacie pcap), dlatego do zachowania adnotacji należy używać formatu pcapng. W pliku pcap komentarze są tracone przy zapisie. Aby wyświetlić wszystkie komentarze w pliku, należy przejść do Statistics → Capture File Properties → Comments, gdzie widoczna jest lista wszystkich dodanych adnotacji wraz z numerami pakietów i treścią komentarzy.

Display Filter Macros to mechanizm umożliwiający definiowanie własnych skrótów dla często używanych filtrów wyświetlania. Makra definiuje się w Analyze → Display Filter Macros, gdzie można nadać nazwę makra i przypisać do niego wyrażenie filtrujące. Po zdefiniowaniu makra można go używać w polu filtra, wpisując ${nazwa_makra}.

Przykładowo, jeśli często używamy filtra do wykrywania skanowania SYN, możemy zdefiniować makro o nazwie "scan" z wartością tcp.flags.syn == 1 and tcp.flags.ack == 0. Następnie w polu filtra wystarczy wpisać ${scan}, co jest znacznie szybsze i mniej podatne na błędy. Makra są szczególnie przydatne przy złożonych filtrach do wykrywania ataków, filtrach specyficznych dla danej analizy oraz filtrach wielokrotnego użytku w różnych sesjach. Makra są zapisywane w pliku konfiguracyjnym Wireshark (preferences).

Firewall ACL Rules to narzędzie, które na podstawie wybranego pakietu generuje regułę firewalla w formacie zgodnym z popularnymi platformami sprzętowymi i programowymi. Funkcja dostępna jest z menu Tools → Firewall ACL Rules i wspiera formaty Cisco IOS, Cisco ASA, Linux iptables, Linux nftables, Windows netsh, IPFilter oraz PF (BSD).

Zastosowanie: po zidentyfikowaniu podejrzanego pakietu w Wireshark, można w kilku kliknięciach wygenerować regułę blokującą ruch z tego adresu IP lub na dany port. Na przykład, po wykryciu ataku DDoS z adresu 192.168.1.100, zaznaczamy pakiet, wybieramy Tools → Firewall ACL Rules → Cisco IOS i otrzymujemy gotową regułę: access-list 100 deny ip 192.168.1.100 any. Regułę można skopiować i wkleić bezpośrednio do konfiguracji firewalla, co znacząco przyspiesza reakcję na incydenty bezpieczeństwa.

VoIP Calls to narzędzie z menu Telephony, które wykrywa i wyświetla listę połączeń VoIP w przechwyconym ruchu. Wireshark identyfikuje połączenia na podstawie protokołów sygnalizacyjnych, takich jak SIP (Session Initiation Protocol), H.323, MGCP (Media Gateway Control Protocol) oraz Skinny (SCCP - Skinny Client Control Protocol) stosowany w rozwiązaniach Cisco.

Dla każdego wykrytego połączenia prezentowane są: numery telefonów (lub identyfikatory) uczestników A i B, czas rozpoczęcia i zakończenia, status połączenia (Completed, Failed, On-going) oraz zastosowany kodek audio (G.711, G.729, Opus). Połączenia można filtrować według statusu, co ułatwia identyfikację nieudanych połączeń wymagających dalszej analizy. Dwukrotne kliknięcie na połączenie przenosi do odpowiednich pakietów w głównym oknie Wireshark.

Analiza jakości audio w połączeniach VoIP wymaga zbadania strumienia RTP (Real-time Transport Protocol) za pomocą narzędzia Telephony → RTP → Stream Analysis. Po wybraniu konkretnego połączenia VoIP i uruchomieniu analizy RTP, Wireshark oblicza kluczowe parametry jakościowe: jitter (zmienność opóźnienia), packet loss (procent utraconych pakietów RTP), max delta (maksymalna różnica czasu między pakietami) oraz szacunkowy MOS (Mean Opinion Score).

Akceptowalne wartości dla dobrej jakości połączenia VoIP to: jitter poniżej 30 ms, utrata pakietów poniżej 1%, MOS powyżej 4,0. MOS jest skalą oceny jakości od 1 (bardzo zła) do 5 (doskonała) i jest obliczany na podstawie obiektywnych parametrów transmisji (model E-model z ITU-T G.107). Wireshark pozwala również na odtworzenie strumienia audio (Play Streams), jeśli ruch nie jest szyfrowany, co umożliwia subiektywną ocenę jakości dźwięku - słyszalne "trzaski" i "zacięcia" korelują z wartościami jittera i utraty pakietów.

Wireshark można rozszerzać i automatyzować za pomocą języka Python na kilka sposobów. Najpopularniejszym jest biblioteka pyshark, która stanowi nakładkę na tshark (konsolową wersję Wireshark) i umożliwia analizę plików pcap bezpośrednio z kodu Pythona. Biblioteka scapy oferuje bardziej zaawansowane możliwości, w tym generowanie własnych pakietów, wysyłanie ich do sieci i przechwytywanie odpowiedzi.

Przykład z pyshark pokazuje, jak w kilku liniach kodu otworzyć plik pcap, iterować przez pakiety i sprawdzać, czy zawierają warstwę HTTP. Jest to nieocenione przy automatyzacji rutynowych analiz - na przykład skrypt może codziennie przetwarzać pliki pcap z monitoringu i generować raport o błędach HTTP. Scapy z kolei umożliwia tworzenie własnych narzędzi do testowania sieci, takich jak niestandardowe skanery portów, generatory ruchu testowego czy narzędzia do wykrywania specyficznych wzorców ataków.

Studium przypadku wolnej strony WWW to klasyczny scenariusz diagnostyczny, w którym użytkownik zgłasza, że strona ładuje się bardzo długo (w tym przypadku 15 sekund). Analityk sieciowy, uzbrojony w Wireshark, może systematycznie przejść przez kolejne narzędzia statystyczne, aby zidentyfikować przyczynę problemu. Procedura opisana na slajdzie stanowi uniwersalny przepis na diagnozowanie problemów z wydajnością aplikacji webowych.

Kroki analizy obejmują: sprawdzenie IO Graph w celu oceny profilu ruchu (czy są długie okresy bezczynności?), przegląd Conversations w celu identyfikacji wszystkich hostów, z którymi łączy się klient, sortowanie HTTP Requests według czasu odpowiedzi w celu znalezienia najwolniejszego żądania, sprawdzenie RTT do serwera na TCP Stream Graph, weryfikację Expert Info pod kątem retransmisji i wolnego DNS. W opisanym przypadku winowajcą okazał się obrazek o rozmiarze 5 MB ładowany z wolnego serwera CDN, którego czas odpowiedzi wynosił 12 sekund.

Studium przypadku ataku brute-force na SSH ilustruje, jak łatwo można wykryć taki atak za pomocą podstawowych narzędzi statystycznych Wireshark. Atak brute-force na SSH polega na wielokrotnym próbowaniu różnych haseł do konta użytkownika na serwerze SSH. Każda próba logowania to osobne połączenie TCP, które w przypadku nieudanego logowania kończy się po trzech pakietach: SYN (klient), SYN-ACK (serwer), RST (klient odrzucający połączenie po nieudanym uwierzytelnieniu).

W Wireshark objawy ataku są bardzo charakterystyczne: w Endpoints widać jeden adres IP źródłowy z tysiącami połączeń do portu 22, w Conversations widoczne są setki krótkich sesji TCP (3 pakiety każda), na IO Graph występują regularne piki odpowiadające działaniu skryptu atakującego. Filtr tcp.port == 22 and tcp.flags.syn == 1 and tcp.flags.ack == 0 pozwala na zliczenie pakietów SYN kierowanych do SSH - jeśli z jednego IP jest ich więcej niż 100 na minutę, mamy do czynienia z atakiem brute-force. Zabezpieczeniem jest stosowanie narzędzi takich jak fail2ban lub denyhosts, które blokują adres IP po określonej liczbie nieudanych prób logowania.

Podsumowanie kluczowych statystyk Wireshark przypomina, jakie informacje można uzyskać z każdego z omówionych narzędzi. Summary daje pogląd na plik pcap (rozmiar, czas trwania, średnia przepustowość). Protocol Hierarchy pokazuje, które protokoły dominują w sieci i które są nieobecne. Conversations i Endpoints odpowiadają na pytania "kto z kim rozmawia?" i "kto mówi najwięcej?".

IO Graph wizualizuje ruch w czasie, umożliwiając identyfikację skoków, okresowości i wzorców. TCP Stream Graphs dostarczają szczegółowych informacji o działaniu TCP w konkretnych sesjach, w tym o retransmisjach i oknie TCP. Service Response Time mierzy wydajność aplikacji, a Expert Info podpowiada, co Wireshark uważa za potencjalny problem. Umiejętność łączenia informacji z tych różnych narzędzi jest kluczowa dla efektywnej analizy sieciowej.

Dobre praktyki zaawansowanej analizy w Wireshark to zbiór zasad wypracowanych przez doświadczonych analityków sieciowych. Zawsze zaczynaj od Summary i Protocol Hierarchy - te dwa narzędzia dają kontekst niezbędny do dalszej analizy. IO Graph służy do wizualizacji wzorców ruchu i jest szczególnie przydatny przy wykrywaniu ataków i anomalii. Expert Info dostarcza podpowiedzi, ale nie należy ufać mu ślepo - zawsze weryfikuj znalezione problemy ręcznie.

Follow Stream jest niezastąpiony, gdy potrzebujesz zobaczyć treść komunikacji - na przykład w celu odzyskania hasła przesłanego jawnym tekstem. Export Objects pozwala na odzyskanie plików z ruchu HTTP, SMB i TFTP. Dokumentacja analizy za pomocą Packet Comments ułatwia współpracę zespołową i zapewnia możliwość powrotu do analizy po czasie. Display Filter Macros zwiększają produktywność przy często używanych filtrach. Stosowanie tych dobrych praktyk znacząco podnosi efektywność i jakość analizy sieciowej.

Pytania kontrolne weryfikują zrozumienie podstawowych koncepcji omówionych w prezentacji. Narzędzie Protocol Hierarchy pokazuje hierarchię protokołów z liczbą pakietów, bajtów i procentami - jest to jedno z najczęściej używanych narzędzi przy wstępnej analizie pliku pcap. Różnica między Conversations a Endpoints jest fundamentalna: Conversations pokazuje pary adresów (komunikację A↔B), a Endpoints pojedyncze adresy.

Zrozumienie tej różnicy jest kluczowe przy interpretacji wyników. Jeśli chcemy sprawdzić, ile danych przesłał konkretny host, używamy Endpoints. Jeśli chcemy zobaczyć, które pary hostów komunikują się najintensywniej, używamy Conversations. Oba narzędzia są komplementarne i często używane razem - najpierw Endpoints do znalezienia aktywnego hosta, potem Conversations do zobaczenia, z kim ten host się komunikuje.

Dalsze pytania kontrolne sprawdzają znajomość funkcji Follow TCP Stream i Export Objects HTTP. Follow TCP Stream rekonstruuje całą sesję TCP, składając pakiety w kolejności i usuwając nagłówki, co pozwala na zobaczenie czystej treści komunikacji. Export Objects HTTP (File → Export Objects → HTTP) wyodrębnia wszystkie obiekty MIME przesyłane przez protokół HTTP.

Expert Info dzieli komunikaty na cztery grupy: Errors (błędy krytyczne), Warnings (ostrzeżenia), Notes (uwagi), Chats (informacje). Znajomość tych grup i ich kolorystyki (czerwony, żółty, niebieski, fioletowy) pozwala na szybką ocenę stanu sieci. W praktyce należy zawsze sprawdzać najpierw Errors, potem Warnings, a Notes i Chats traktować jako uzupełnienie.

Ostatnie pytania kontrolne dotyczą wykrywania skanowania portów i analizy VoIP. Skanowanie SYN można wykryć filtrem tcp.flags.syn == 1 and tcp.flags.ack == 0 - jeśli jeden adres IP wysyła pakiety SYN do wielu różnych portów w krótkim czasie, mamy do czynienia ze skanowaniem. W praktyce należy zwrócić uwagę na liczbę portów i czas - kilkanaście portów w ciągu kilku minut to normalna komunikacja, setki portów w ciągu sekund to skanowanie.

Jitter w analizie VoIP to zmienność opóźnienia pakietów RTP, mierzona w milisekundach. Akceptowalna wartość to poniżej 30 ms - powyżej tej granicy jakość dźwięku zaczyna być odczuwalnie gorsza (trzaski, zacięcia). MOS (Mean Opinion Score) w skali 1-5 jest syntetycznym wskaźnikiem jakości, gdzie 4,0 i powyżej oznacza dobrą jakość, 3,0-3,9 dostateczną, a poniżej 3,0 niezadowalającą.

Zadanie praktyczne na końcu prezentacji pozwala na samodzielne przećwiczenie wszystkich poznanych narzędzi na przykładowym pliku pcap. Zaleca się pobranie pliku http.cap z oficjalnej strony Wireshark Sample Captures (https://wiki.wireshark.org/SampleCaptures) i wykonanie kolejnych kroków opisanych w zadaniu. Ćwiczenie obejmuje zarówno podstawowe statystyki (Protocol Hierarchy), jak i zaawansowane narzędzia (IO Graph, Follow TCP Stream, Expert Info, Export Objects).

Wykonanie wszystkich ośmiu kroków zadania i sporządzenie raportu z wniosków pozwoli na utrwalenie wiedzy zdobytej w trakcie prezentacji. W raporcie należy zawrzeć: listę protokołów wykrytych w Protocol Hierarchy, konfigurację IO Graph z 3 liniami, najdłuższą rozmowę TCP, treść strumienia TCP, liczbę błędów i ostrzeżeń w Expert Info, liczbę wyeksportowanych obiektów HTTP oraz wnioski końcowe dotyczące charakteru analizowanego ruchu.

Czwarta prezentacja z cyklu "Pomiary logiczne - protokoły, przechwytywanie i analiza ruchu" dostarczyła wszechstronnej wiedzy na temat zaawansowanych narzędzi statystycznych Wireshark. Od podstawowego okna Summary, przez hierarchię protokołów, analizę rozmów i punktów końcowych, aż po zaawansowane wykresy TCP, analizę VoIP i automatyzację z Pythonem - wszystkie te narzędzia są niezbędne w codziennej pracy administratora i analityka sieciowego.

Kluczowe przesłanie: statystyki Wireshark to nie tylko liczby - to wgląd w strukturę ruchu, wydajność protokołów i zachowanie sieci. Umiejętność łączenia informacji z różnych narzędzi statystycznych pozwala na szybką i trafną diagnozę problemów sieciowych, wykrywanie ataków i optymalizację wydajności. W następnej części poznamy protokół TCP w praktyce - analizę okna TCP, retransmisje, mechanizm SACK, opóźnienia i zaawansowane wykrywanie problemów z wydajnością połączeń.