Измените свой рабочий процесс Wireshark с помощью Brim в Linux

Wireshark — это стандарт де-факто для анализа сетевого трафика. К сожалению, он становится все более и более запаздывающим по мере роста захвата пакетов. Brim настолько хорошо решает эту проблему, что изменит ваш рабочий процесс Wireshark.

Wireshark великолепен, но . . .

Wireshark — замечательное программное обеспечение с открытым исходным кодом. Он используется как любителями, так и профессионалами по всему миру для исследования сетевых проблем. Он захватывает пакеты данных, которые проходят по проводам или через эфир вашей сети. После того, как вы зафиксировали свой трафик, Wireshark позволяет вам фильтровать и искать данные, отслеживать разговоры между сетевыми устройствами и многое другое.

Однако, как бы ни был хорош Wireshark, у него есть одна проблема. Файлы сбора сетевых данных (называемые сетевыми трассировками или захватами пакетов) могут очень быстро стать очень большими. Это особенно верно, если проблема, которую вы пытаетесь исследовать, сложна или спорадична, или сеть большая и занята.

Чем больше захват пакетов (или PCAP), тем более медленным становится Wireshark. Простое открытие и загрузка очень большого (больше 1 ГБ) следа может занять так много времени, что можно подумать, что Wireshark сдался и испустил дух.

Работать с файлами такого размера — настоящая боль. Каждый раз, когда вы выполняете поиск или меняете фильтр, вам приходится ждать, пока эффекты будут применены к данным и обновлены на экране. Каждая задержка нарушает вашу концентрацию, что может помешать вашему прогрессу.

Брим - лекарство от этих бед. Он действует как интерактивный препроцессор и интерфейс для Wireshark. Если вы хотите увидеть детализированный уровень, который может предоставить Wireshark, Brim мгновенно откроет его для вас именно на этих пакетах.

Если вы много занимаетесь захватом сети и анализом пакетов, Brim произведет революцию в вашем рабочем процессе.

СВЯЗАННЫЕ С: Как использовать фильтры Wireshark в Linux

Установка Брима

Brim очень новый, поэтому он еще не попал в репозитории программного обеспечения дистрибутивов Linux. Однако на странице загрузки Brim вы найдете файлы пакетов DEB и RPM, поэтому установить его на Ubuntu или Fedora достаточно просто.

Если вы используете другой дистрибутив, вы можете скачать исходный код с GitHub и собрать приложение самостоятельно.

Brim использует zq , инструмент командной строки для журналов Zeek, поэтому вам также потребуется загрузить ZIP-файл, содержащий двоичные файлы zq .

Установка Брима на Ubuntu

Если вы используете Ubuntu, вам необходимо загрузить файл пакета DEB и ZIP-файл zq Linux. Дважды щелкните загруженный файл пакета DEB, и откроется приложение Ubuntu Software. Лицензия Brim ошибочно указана как «Проприетарная» — она использует лицензию BSD с тремя пунктами.

Нажмите «Установить».

После завершения установки дважды щелкните ZIP-файл zq , чтобы запустить приложение Archive Manager. ZIP-файл будет содержать один каталог; перетащите его из «Менеджера архивов» в место на вашем компьютере, например в каталог «Загрузки».

Мы вводим следующее, чтобы создать место для двоичных файлов zq :

 sudo mkdir /opt/zeek 

Нам нужно скопировать двоичные файлы из извлеченного каталога в только что созданное место. Замените путь и имя извлеченного каталога на вашем компьютере в следующей команде:

 sudo cp Downloads/zq-v0.20.0.linux-amd64/* /opt/Zeek 

Нам нужно добавить это местоположение к пути, поэтому мы отредактируем файл BASHRC:

 судо gedit .bashrc 

Откроется редактор gedit. Прокрутите файл до конца и введите следующую строку:

 экспорт PATH=$PATH:/opt/zeek 

Сохраните изменения и закройте редактор.

Установка Brim в Fedora

Чтобы установить Brim на Fedora, загрузите файл пакета RPM (вместо DEB), а затем выполните те же шаги, которые мы рассмотрели для установки Ubuntu выше.

Интересно, что когда файл RPM открывается в Fedora, он правильно идентифицируется как имеющий лицензию с открытым исходным кодом, а не проприетарную.

Запуск Brim

Нажмите «Показать приложения» в доке или нажмите Super+A. Введите «brim» в поле поиска, а затем нажмите «Brim», когда оно появится.

Brim запускается и отображает главное окно. Вы можете нажать «Выбрать файлы», чтобы открыть браузер файлов, или перетащить файл PCAP в область, окруженную красным прямоугольником.

Brim использует отображение вкладок, и вы можете одновременно открывать несколько вкладок. Чтобы открыть новую вкладку, нажмите значок «плюс» (+) вверху, а затем выберите другой PCAP.

Брим Основы

Brim загружает и индексирует выбранный файл. Индекс — одна из причин, по которой Brim такой быстрый. Главное окно содержит гистограмму объемов пакетов с течением времени и список сетевых «потоков».

Файл PCAP содержит упорядоченный по времени поток сетевых пакетов для большого количества сетевых подключений. Пакеты данных для различных соединений смешиваются, потому что некоторые из них были открыты одновременно. Пакеты для каждого сетевого «разговора» чередуются с пакетами других разговоров.

Wireshark отображает сетевой поток пакет за пакетом, а Brim использует концепцию под названием «потоки». Поток — это полный сетевой обмен (или диалог) между двумя устройствами. Каждый тип потока классифицируется, имеет цветовую кодировку и маркировку по типу потока. Вы увидите потоки с метками «dns», «ssh», «https», «ssl» и многие другие.

Если вы прокрутите сводку потока влево или вправо, отобразится гораздо больше столбцов. Вы также можете настроить период времени для отображения подмножества информации, которую вы хотите видеть. Ниже приведены несколько способов просмотра данных:

• Щелкните полосу на гистограмме, чтобы увеличить сетевую активность внутри нее.
• Нажмите и перетащите, чтобы выделить диапазон отображения гистограммы, и увеличьте масштаб. Затем Brim отобразит данные из выделенного раздела.
• Вы также можете указать точные периоды в полях «Дата» и «Время».

Brim может отображать две боковые панели: одну слева и одну справа. Они могут быть скрыты или оставаться видимыми. Панель слева показывает историю поиска и список открытых PCAP, называемых пробелами. Нажмите Ctrl+[, чтобы включить или выключить левую панель.

Панель справа содержит подробную информацию о выделенном потоке. Нажмите Ctrl+], чтобы включить или выключить правую панель.

Нажмите «Подключить» в списке «Корреляция UID», чтобы открыть схему подключения для выделенного потока.

В главном окне вы также можете выделить поток, а затем щелкнуть значок Wireshark. Это запустит Wireshark с отображением пакетов для выделенного потока.

Откроется Wireshark, отображающий интересующие пакеты.

Фильтрация в Brim

Поиск и фильтрация в Brim являются гибкими и всеобъемлющими, но вам не нужно изучать новый язык фильтрации, если вы этого не хотите. Вы можете создать синтаксически правильный фильтр в Brim, щелкнув поля в окне сводки, а затем выбрав параметры в меню.

Например, на изображении ниже мы щелкнули правой кнопкой мыши поле «dns». Затем мы собираемся выбрать «Фильтр = Значение» из контекстного меню.

Затем происходят следующие вещи:

• В строку поиска добавляется текст _path = "dns" .
• Этот фильтр применяется к файлу PCAP, поэтому он будет отображать только потоки, являющиеся потоками службы доменных имен (DNS).
• Текст фильтра также добавляется в историю поиска на левой панели.

Мы можем добавить дополнительные предложения к поисковому запросу, используя ту же технику. Щелкните правой кнопкой мыши поле IP-адреса (содержащее «192.168.1.26») в столбце «Id.orig_h», а затем выберите «Фильтр = Значение» в контекстном меню.

Это добавляет дополнительное предложение как предложение AND. Отображение теперь отфильтровано для отображения потоков DNS, исходящих с этого IP-адреса (192.168.1.26).

Новый термин фильтра будет добавлен в историю поиска на левой панели. Вы можете переключаться между поисками, щелкая элементы в списке истории поиска.

IP-адрес назначения для большинства наших отфильтрованных данных — 81.139.56.100. Чтобы увидеть, какие DNS-потоки были отправлены на разные IP-адреса, щелкните правой кнопкой мыши «81.139.56.100» в столбце «Id_resp_h», а затем выберите «Фильтр! = Значение» в контекстном меню.

Только один поток DNS, исходящий из адреса 192.168.1.26, не был отправлен на адрес 81.139.56.100, и мы обнаружили его, не вводя ничего для создания нашего фильтра.

Закрепление предложений фильтра

Когда мы щелкаем правой кнопкой мыши поток «HTTP» и выбираем «Фильтр = Значение» в контекстном меню, на панели сводки будут отображаться только потоки HTTP. Затем мы можем щелкнуть значок «Закрепить» рядом с предложением фильтра HTTP.

Предложение HTTP теперь закреплено на месте, и любые другие фильтры или условия поиска, которые мы используем, будут выполняться с добавленным к ним предложением HTTP.

Если мы введем «GET» в строке поиска, поиск будет ограничен потоками, которые уже были отфильтрованы закрепленным предложением. Вы можете закрепить столько предложений фильтра, сколько необходимо.

Чтобы искать пакеты POST в потоках HTTP, мы просто очищаем строку поиска, набираем «POST» и нажимаем Enter.

Прокрутка вбок показывает идентификатор удаленного хоста.

Все условия поиска и фильтрации добавляются в список «История». Чтобы повторно применить любой фильтр, просто нажмите на него.

Вы также можете искать удаленный хост по имени.

Редактирование условий поиска

Если вы хотите что-то найти, но не видите потока такого типа, вы можете щелкнуть любой поток и отредактировать запись в строке поиска.

Например, мы знаем, что в файле PCAP должен быть хотя бы один поток SSH, потому что мы использовали rsync для отправки некоторых файлов на другой компьютер, но мы его не видим.

Итак, мы щелкнем правой кнопкой мыши другой поток, выберем «Фильтр = значение» в контекстном меню, а затем отредактируем строку поиска, указав «ssh» вместо «dns».

Мы нажимаем Enter для поиска потоков SSH и находим только один.

Нажатие Ctrl+] открывает правую панель, на которой отображаются сведения об этом потоке. Если файл был передан во время потока, появляются хэши MD5, SHA1 и SHA256.

Щелкните правой кнопкой мыши любой из них, а затем выберите «Поиск VirusTotal» в контекстном меню, чтобы открыть браузер на веб-сайте VirusTotal и передать хэш для проверки.

VirusTotal хранит хэши известных вредоносных программ и других вредоносных файлов. Если вы не уверены в безопасности файла, это простой способ проверить его, даже если у вас больше нет доступа к файлу.

Если файл доброкачественный, вы увидите экран, показанный на изображении ниже.

Идеальное дополнение к Wireshark

Brim делает работу с Wireshark еще быстрее и проще, позволяя работать с очень большими файлами захвата пакетов. Дайте ему пробный запуск сегодня!