เปลี่ยนเวิร์กโฟลว์ Wireshark ของคุณด้วย Brim บน Linux

Wireshark เป็นมาตรฐานโดยพฤตินัยสำหรับการวิเคราะห์การรับส่งข้อมูลเครือข่าย น่าเสียดายที่การดักจับแพ็กเก็ตมีความล่าช้ามากขึ้นเรื่อยๆ Brim แก้ปัญหานี้ได้อย่างดี มันจะเปลี่ยนเวิร์กโฟลว์ Wireshark ของคุณ

Wireshark นั้นยอดเยี่ยม แต่ . . .

Wireshark เป็นซอฟต์แวร์โอเพ่นซอร์สที่ยอดเยี่ยม มีการใช้โดยมือสมัครเล่นและมืออาชีพทั่วโลกเพื่อตรวจสอบปัญหาเครือข่าย จะจับแพ็กเก็ตข้อมูลที่เดินทางผ่านสายหรือผ่านอีเธอร์ของเครือข่ายของคุณ เมื่อคุณจับปริมาณการใช้ข้อมูลได้แล้ว Wireshark จะให้คุณกรองและค้นหาข้อมูล ติดตามการสนทนาระหว่างอุปกรณ์เครือข่าย และอื่นๆ อีกมากมาย

แม้ว่า Wireshark จะดีแค่ไหน แต่ก็มีประเด็นเดียว ไฟล์การดักจับข้อมูลเครือข่าย (เรียกว่า การติดตามเครือข่ายหรือการจับแพ็กเก็ต) อาจมีขนาดใหญ่มากและเร็วมาก โดยเฉพาะอย่างยิ่งหากปัญหาที่คุณพยายามตรวจสอบนั้นซับซ้อนหรือเป็นระยะๆ หรือเครือข่ายมีขนาดใหญ่และไม่ว่าง

ยิ่งการดักจับแพ็กเก็ต (หรือ PCAP) มีขนาดใหญ่เท่าใด Wireshark ก็ยิ่งล้าหลังมากขึ้นเท่านั้น เพียงแค่เปิดและโหลดการติดตามที่มีขนาดใหญ่มาก (มากกว่า 1 GB) อาจใช้เวลานาน คุณอาจคิดว่า Wireshark กระดูกงูหักและเลิกใช้ผี

การทำงานกับไฟล์ขนาดนั้นเป็นเรื่องที่เจ็บปวดมาก ทุกครั้งที่คุณทำการค้นหาหรือเปลี่ยนตัวกรอง คุณต้องรอให้เอฟเฟกต์ถูกนำไปใช้กับข้อมูลและอัปเดตบนหน้าจอ ความล่าช้าแต่ละครั้งจะรบกวนสมาธิของคุณ ซึ่งอาจขัดขวางความก้าวหน้าของคุณ

ปีกเป็นยาสำหรับความทุกข์ยากเหล่านี้ มันทำหน้าที่เป็นตัวประมวลผลล่วงหน้าแบบโต้ตอบและส่วนหน้าสำหรับ Wireshark เมื่อคุณต้องการเห็นระดับที่ละเอียดที่ Wireshark สามารถให้ได้ Brim จะเปิดให้คุณในแพ็กเก็ตเหล่านั้นทันที

หากคุณทำการดักจับเครือข่ายและวิเคราะห์แพ็กเก็ตเป็นจำนวนมาก Brim จะปฏิวัติเวิร์กโฟลว์ของคุณ

ที่เกี่ยวข้อง: วิธีใช้ตัวกรอง Wireshark บน Linux

การติดตั้ง Brim

Brim นั้นใหม่มาก ดังนั้นจึงยังไม่ได้เข้าสู่คลังซอฟต์แวร์ของลีนุกซ์รุ่นต่างๆ อย่างไรก็ตาม ในหน้าดาวน์โหลด Brim คุณจะพบไฟล์แพ็คเกจ DEB และ RPM ดังนั้นการติดตั้งบน Ubuntu หรือ Fedora นั้นง่ายพอสมควร

หากคุณใช้การแจกจ่ายอื่น คุณสามารถดาวน์โหลดซอร์สโค้ดจาก GitHub และสร้างแอปพลิเคชันด้วยตัวคุณเอง

Brim ใช้ zq ซึ่งเป็นเครื่องมือบรรทัดคำสั่งสำหรับบันทึกของ Zeek ดังนั้นคุณจะต้องดาวน์โหลดไฟล์ ZIP ที่มีไบนารี zq ด้วย

การติดตั้ง Brim บน Ubuntu

หากคุณใช้ Ubuntu คุณจะต้องดาวน์โหลดไฟล์แพ็คเกจ DEB และไฟล์ zq Linux ZIP ดับเบิลคลิกที่ไฟล์แพ็คเกจ DEB ที่ดาวน์โหลดมา และแอปพลิเคชั่น Ubuntu Software จะเปิดขึ้น ใบอนุญาต Brim ถูกระบุว่าเป็น "กรรมสิทธิ์" อย่างไม่ถูกต้อง—ใช้ใบอนุญาต BSD 3-Clause

คลิก "ติดตั้ง"

เมื่อการติดตั้งเสร็จสิ้น ให้ดับเบิลคลิกที่ไฟล์ zq ZIP เพื่อเปิดแอปพลิเคชัน Archive Manager ไฟล์ ZIP จะมีไดเร็กทอรีเดียว ลากและวางจาก "ตัวจัดการไฟล์เก็บถาวร" ไปยังตำแหน่งบนคอมพิวเตอร์ของคุณ เช่น ไดเรกทอรี "ดาวน์โหลด"

เราพิมพ์ข้อความต่อไปนี้เพื่อสร้างตำแหน่งสำหรับไบนารี zq :

 sudo mkdir /opt/zeek 

เราจำเป็นต้องคัดลอกไบนารีจากไดเร็กทอรีที่แยกออกมาไปยังตำแหน่งที่เราเพิ่งสร้างขึ้น แทนที่พาธและชื่อของไดเร็กทอรีที่แยกออกมาบนเครื่องของคุณด้วยคำสั่งต่อไปนี้:

 sudo cp ดาวน์โหลด/zq-v0.20.0.linux-amd64/* /opt/Zeek 

เราจำเป็นต้องเพิ่มตำแหน่งนั้นในพาธ ดังนั้นเราจะแก้ไขไฟล์ BASHRC:

 sudo gedit .bashrc 

ตัวแก้ไข gedit จะเปิดขึ้น เลื่อนไปที่ด้านล่างของไฟล์ แล้วพิมพ์บรรทัดนี้:

 ส่งออก PATH=$PATH:/opt/zeek 

บันทึกการเปลี่ยนแปลงของคุณและปิดตัวแก้ไข

การติดตั้งปีกบน Fedora

ในการติดตั้ง Brim บน Fedora ให้ดาวน์โหลดไฟล์แพ็คเกจ RPM (แทนที่จะเป็น DEB) จากนั้นทำตามขั้นตอนเดียวกับที่เรากล่าวถึงสำหรับการติดตั้ง Ubuntu ด้านบน

ที่น่าสนใจคือเมื่อไฟล์ RPM เปิดขึ้นใน Fedora แสดงว่ามีใบอนุญาตโอเพนซอร์ซอย่างถูกต้อง แทนที่จะเป็นลิขสิทธิ์เฉพาะ

เปิดตัว Brim

คลิก "แสดงแอปพลิเคชัน" ใน Dock หรือกด Super+A พิมพ์ "brim" ในกล่องค้นหา จากนั้นคลิก "Brim" เมื่อปรากฏขึ้น

Brim เปิดตัวและแสดงหน้าต่างหลัก คุณสามารถคลิก “เลือกไฟล์” เพื่อเปิดไฟล์เบราว์เซอร์ หรือลากและวางไฟล์ PCAP ในพื้นที่ที่ล้อมรอบด้วยสี่เหลี่ยมสีแดง

Brim ใช้จอแสดงผลแบบแท็บ และคุณสามารถเปิดหลายแท็บพร้อมกันได้ หากต้องการเปิดแท็บใหม่ ให้คลิกเครื่องหมายบวก (+) ที่ด้านบน จากนั้นเลือก PCAP อื่น

ข้อมูลพื้นฐานเกี่ยวกับปีก

Brim โหลดและสร้างดัชนีไฟล์ที่เลือก ดัชนีเป็นหนึ่งในเหตุผลที่ Brim เร็วมาก หน้าต่างหลักประกอบด้วยฮิสโตแกรมของวอลุ่มแพ็กเก็ตในช่วงเวลาหนึ่ง และรายการ "โฟลว์" ของเครือข่าย

ไฟล์ PCAP เก็บสตรีมแพ็คเก็ตเครือข่ายตามกำหนดเวลาสำหรับการเชื่อมต่อเครือข่ายจำนวนมาก แพ็กเก็ตข้อมูลสำหรับการเชื่อมต่อต่างๆ ถูกผสมผสานกันเนื่องจากบางแพ็กเก็ตจะถูกเปิดพร้อมกัน แพ็กเก็ตสำหรับ "การสนทนา" แต่ละเครือข่ายจะสลับกับแพ็กเก็ตของการสนทนาอื่นๆ

Wireshark แสดงแพ็กเก็ตสตรีมเครือข่ายตามแพ็กเก็ต ในขณะที่ Brim ใช้แนวคิดที่เรียกว่า "โฟลว์" โฟลว์คือการแลกเปลี่ยนเครือข่ายที่สมบูรณ์ (หรือการสนทนา) ระหว่างอุปกรณ์สองเครื่อง โฟลว์แต่ละประเภทจะถูกจัดหมวดหมู่ รหัสสี และติดป้ายกำกับตามประเภทของโฟลว์ คุณจะเห็นโฟลว์ที่มีป้ายกำกับว่า “dns,” “ssh,” “https,” “ssl” และอื่นๆ อีกมากมาย

หากคุณเลื่อนการแสดงสรุปโฟลว์ไปทางซ้ายหรือขวา คอลัมน์อื่นๆ จะปรากฏขึ้นอีกมากมาย คุณยังสามารถปรับช่วงเวลาเพื่อแสดงชุดย่อยของข้อมูลที่คุณต้องการดูได้อีกด้วย ด้านล่างนี้คือวิธีการสองสามวิธีที่คุณสามารถดูข้อมูลได้:

• คลิกแถบในฮิสโตแกรมเพื่อขยายกิจกรรมเครือข่ายที่อยู่ภายใน
• คลิกและลากเพื่อไฮไลต์ช่วงของการแสดงฮิสโตแกรมและซูมเข้า จากนั้นปีกจะแสดงข้อมูลจากส่วนที่ไฮไลต์
• คุณยังระบุช่วงเวลาที่แน่นอนในช่อง "วันที่" และ "เวลา" ได้อีกด้วย

ปีกสามารถแสดงบานหน้าต่างด้านข้างได้สองบาน: บานหนึ่งอยู่ทางซ้าย และอีกบานอยู่ทางขวา สิ่งเหล่านี้สามารถซ่อนหรือมองเห็นได้ บานหน้าต่างด้านซ้ายแสดงประวัติการค้นหาและรายการ PCAP ที่เปิดอยู่ ซึ่งเรียกว่าช่องว่าง กด Ctrl+[ เพื่อเปิดหรือปิดบานหน้าต่างด้านซ้าย

บานหน้าต่างด้านขวามีข้อมูลโดยละเอียดเกี่ยวกับโฟลว์ที่ไฮไลต์ กด Ctrl+] เพื่อเปิดหรือปิดบานหน้าต่างด้านขวา

คลิก "Conn" ในรายการ "UID Correlation" เพื่อเปิดไดอะแกรมการเชื่อมต่อสำหรับโฟลว์ที่ไฮไลต์

ในหน้าต่างหลัก คุณยังสามารถเน้นโฟลว์ จากนั้นคลิกไอคอน Wireshark การดำเนินการนี้จะเปิด Wireshark พร้อมแพ็กเก็ตสำหรับโฟลว์ที่ไฮไลต์ไว้

Wireshark เปิดขึ้นแสดงแพ็กเก็ตที่น่าสนใจ

การกรองใน Brim

การค้นหาและการกรองใน Brim นั้นยืดหยุ่นและครอบคลุม แต่คุณไม่จำเป็นต้องเรียนรู้ภาษาการกรองใหม่หากคุณไม่ต้องการ คุณสามารถสร้างตัวกรองที่ถูกต้องทางวากยสัมพันธ์ใน Brim โดยคลิกที่ฟิลด์ในหน้าต่างสรุป แล้วเลือกตัวเลือกจากเมนู

ตัวอย่างเช่น ในภาพด้านล่าง เราคลิกขวาที่ช่อง "dns" จากนั้นเราจะเลือก "ตัวกรอง = ค่า" จากเมนูบริบท

สิ่งต่อไปนี้จึงเกิดขึ้น:

• ข้อความ _path = "dns" ถูกเพิ่มลงในแถบค้นหา
• ตัวกรองนั้นใช้กับไฟล์ PCAP ดังนั้นจะแสดงเฉพาะโฟลว์ที่เป็นโฟลว์ Domain Name Service (DNS)
• ข้อความตัวกรองจะถูกเพิ่มลงในประวัติการค้นหาในบานหน้าต่างด้านซ้ายด้วย

เราสามารถเพิ่มอนุประโยคเพิ่มเติมให้กับข้อความค้นหาโดยใช้เทคนิคเดียวกัน เราจะคลิกขวาที่ช่องที่อยู่ IP (ประกอบด้วย “192.168.1.26”) ในคอลัมน์ “Id.orig_h” จากนั้นเลือก “ตัวกรอง = ค่า” จากเมนูบริบท

สิ่งนี้จะเพิ่มส่วนคำสั่งเพิ่มเติมเป็นคำสั่ง AND ขณะนี้จอแสดงผลได้รับการกรองเพื่อแสดงโฟลว์ DNS ที่มาจากที่อยู่ IP นั้น (192.168.1.26)

คำตัวกรองใหม่จะถูกเพิ่มในประวัติการค้นหาในบานหน้าต่างด้านซ้าย คุณสามารถข้ามไปมาระหว่างการค้นหาได้โดยคลิกที่รายการในรายการประวัติการค้นหา

ที่อยู่ IP ปลายทางสำหรับข้อมูลที่กรองส่วนใหญ่ของเราคือ 81.139.56.100 หากต้องการดูว่าโฟลว์ DNS ใดถูกส่งไปยังที่อยู่ IP ต่างๆ ให้คลิกขวาที่ "81.139.56.100" ในคอลัมน์ "Id_resp_h" จากนั้นเลือก "ตัวกรอง != ค่า" จากเมนูบริบท

กระแส DNS เดียวเท่านั้นที่มาจาก 192.168.1.26 ไม่ได้ถูกส่งไปยัง 81.139.56.100 และเราได้ระบุตำแหน่งโดยไม่ต้องพิมพ์อะไรเลยเพื่อสร้างตัวกรองของเรา

ปักหมุดตัวกรองข้อ

เมื่อเราคลิกขวาที่โฟลว์ "HTTP" และเลือก "ตัวกรอง = ค่า" จากเมนูบริบท บานหน้าต่างสรุปจะแสดงเฉพาะโฟลว์ HTTP จากนั้นเราสามารถคลิกไอคอน Pin ถัดจากส่วนคำสั่งตัวกรอง HTTP

ประโยค HTTP ถูกตรึงไว้กับที่แล้ว และตัวกรองหรือคำค้นหาอื่นๆ ที่เราใช้จะถูกดำเนินการด้วยส่วนคำสั่ง HTTP ที่นำหน้าไว้

หากเราพิมพ์ "GET" ในแถบค้นหา การค้นหาจะถูกจำกัดเฉพาะโฟลว์ที่ได้รับการกรองโดยอนุประโยคที่ปักหมุดไว้แล้ว คุณสามารถปักหมุดส่วนคำสั่งตัวกรองได้มากเท่าที่จำเป็น

ในการค้นหาแพ็กเก็ต POST ในโฟลว์ HTTP เราเพียงแค่ล้างแถบค้นหา พิมพ์ “POST” แล้วกด Enter

การเลื่อนไปด้านข้างเผยให้เห็น ID ของรีโมตโฮสต์

คำค้นหาและตัวกรองทั้งหมดจะเพิ่มในรายการ "ประวัติ" หากต้องการใช้ตัวกรองอีกครั้ง ให้คลิกที่ตัวกรองนั้น

คุณยังสามารถค้นหาโฮสต์ระยะไกลตามชื่อได้

การแก้ไขข้อความค้นหา

หากคุณต้องการค้นหาบางอย่าง แต่ไม่เห็นขั้นตอนของประเภทนั้น คุณสามารถคลิกขั้นตอนใดๆ และแก้ไขรายการในแถบค้นหาได้

ตัวอย่างเช่น เรารู้ว่าต้องมีโฟลว์ SSH อย่างน้อยหนึ่งโฟลว์ในไฟล์ PCAP เนื่องจากเราใช้ rsync เพื่อส่งไฟล์บางไฟล์ไปยังคอมพิวเตอร์เครื่องอื่น แต่เรามองไม่เห็น

ดังนั้น เราจะคลิกขวาที่ขั้นตอนอื่น เลือก "ตัวกรอง = ค่า" จากเมนูบริบท แล้วแก้ไขแถบค้นหาให้พูดว่า "ssh" แทนที่จะเป็น "dns"

เรากด Enter เพื่อค้นหาโฟลว์ SSH และพบว่ามีเพียงรายการเดียวเท่านั้น

การกด Ctrl+] จะเปิดบานหน้าต่างด้านขวา ซึ่งจะแสดงรายละเอียดของโฟลว์นี้ หากไฟล์ถูกถ่ายโอนระหว่างโฟลว์ แฮช MD5, SHA1 และ SHA256 จะปรากฏขึ้น

คลิกขวาที่รายการใดรายการหนึ่ง จากนั้นเลือก “VirusTotal Lookup” จากเมนูบริบทเพื่อเปิดเบราว์เซอร์ของคุณที่เว็บไซต์ VirusTotal และส่งต่อแฮชเพื่อตรวจสอบ

VirusTotal เก็บแฮชของมัลแวร์ที่รู้จักและไฟล์ที่เป็นอันตรายอื่นๆ หากคุณไม่แน่ใจว่าไฟล์นั้นปลอดภัยหรือไม่ นี่เป็นวิธีง่ายๆ ในการตรวจสอบ แม้ว่าคุณจะไม่สามารถเข้าถึงไฟล์ได้อีกต่อไป

หากไฟล์ไม่เป็นอันตราย คุณจะเห็นหน้าจอดังภาพด้านล่าง

ส่วนประกอบที่สมบูรณ์แบบสำหรับ Wireshark

Brim ทำให้การทำงานกับ Wireshark เร็วและง่ายขึ้นโดยอนุญาตให้คุณทำงานกับไฟล์ดักจับแพ็กเก็ตที่มีขนาดใหญ่มาก ให้มันทดสอบการทำงานวันนี้!