Analizador de Trfico: WireShark

Ing. David Guevara A. Msc 1

Aplicacin del WireShark

Identificacin del trfico generado por las aplicaciones (puertos, IP origen, IP destino) con el fin de definir las polticas de seguridad en los Firewalls.

Identificacin del trfico generado por alta incidencia de virus en la red y de ataques a travs del uso de software malicioso.

Identificacin del trfico que est generando un comportamiento anmalo en la red con la ayuda de un software de monitoreo.

WireShark es una herramienta grfica utilizada por los profesionales y/o administradores de la red para identificar y analizar el trfico en un momento determinado.
Caractersticas:
Disponible para UNIX/LINUX, Windows y Mac OS. Captura los paquetes directamente de la interfaz de red. Permite obtener detalladamente la informacin del protocolo utilizado en el paquete capturado. Filtra los paquetes que cumplan con un criterio definido previamente. Realiza la bsqueda de los paquetes que cumplan con un criterio definido previamente. Permite obtener estadsticas del trfico por protocolo, entre una fuente y un destino, etc. Sus funciones grficas permiten identificar mediante el uso de colores los paquetes que cumplen con los filtros establecidos.

Infraestructura de red

Modelo OSI

Datos

Segmentos Paquetes

Tramas Bits

GUI WireShark

Men Ppal. Barra Herram ienta s para filtros

Barra Herram ienta s

Panel Paquetes capturados

Panel de detalles

Panel de detalles en Bytes Barra de Estado

Captura de Paquetes
Seleccionar la interfaz.

Captura de Paquetes
Configurar opciones de captura de paquetes.

Ejemplo 1: ping (xito)

Ejemplo 1a: ping (host no alcanzable)

10

Ejemplo 2: http

11

Ejemplo 3: ftp

12

Ejemplo 4: Spyware o Troyano

Mltiples intentos de conexiones hacia un destino podra ser un patrn a seguir para un caso de trfico anmalo en la red.

13

Ejemplo 4: Virus Blaster/Lovsan

Siguiendo el flujo de los paquetes capturados se obtiene lo siguiente: C:\WINNT\System32\start msblast.exe start msblaster.exe msblaster.exe

14

Puertos Bien Conocidos

Nro. Descripcin

20 y 21 22 23 25 53 69 80 443

FTP SSH Telnet SMTP DNS TFTP HTTP HTTPS

15