Wireshark là gì và vai trò trong an ninh mạng?
Wireshark là trình phân tích giao thức mạng (network protocol analyzer) mã nguồn mở, mạnh mẽ và miễn phí. Đây là công cụ bất ly thân của quản trị hệ thống và chuyên gia an ninh để thu gom, kiểm tra và phân tích lưu lượng mạng ở mức độ chi tiết từng gói tin (packet).
Cách kẻ tấn công lợi dụng Wireshark
- Thu thập thông tin nhạy cảm (Sniffing): Trên mạng không mã hóa (HTTP, FTP, Telnet), Wireshark có thể bắt được mật khẩu, token phiên, cookie, email, tệp tin truyền tải rõ ràng (cleartext).
- Phân tích giao thức & Tấn công Man-in-the-Middle (MitM): Kẻ tấn công quan sát luồng trao đổi khóa, chứng chỉ SSL/TLS để thực hiện hạ cấp giao thức (downgrade attack), strip SSL, hoặc giả mạo chứng chỉ.
- Khám phá cấu trúc mạng (Reconnaissance): Xác định thiết bị hoạt động, hệ điều hành, dịch vụ mở cổng, bản vá thiếu hụt qua phân tích gói tin broadcast, ARP, DHCP, DNS.
- Tấn công DoS/DDoS: Phân tích mẫu lưu lượng để thiết kế gói tin tấn công tiêu tốn tài nguyên (ví dụ: SYN flood, amplification attack).
- Trích xuất tệp tin & Mã độc: Xuất (export) tệp tin truyền qua HTTP, SMB, FTP từ capture file để phân tích mã độc, rò rỉ dữ liệu.
Wireshark có phải là rủi ro bảo mật không?
Wireshark bản thân không phải là lỗ hổng. Nó chỉ quan sát lưu lượng đã có trên đường truyền. Rủi ro đến từ việc mạng không được mã hóa hoặc
Sử dụng Wireshark để phát hiện & truy vết kẻ tấn công (Blue Team)
- Phát hiện quét cổng (port scan), quét lỗ hổng (vulnerability scan) qua mẫu gói tin bất thường.
- Xác định loại tấn công DoS (SYN flood, UDP flood, ICMP flood) bằng bộ lọc hiển thị (display filters).
- Kiểm tra hiệu quả tường lửa: đặt Wireshark hai bên tường lửa để so sánh gói tin được chặn/cho phép.
- Phân tích malware C2 (Command & Control): nhận diện beaconing, DNS tunneling, kết nối bất thường ra ngoài.
- Hỗ trợ điều tra sự cố (Incident Response) & Forensics: tái dựng phiên làm việc, trích xuất bằng chứng.
Các biện pháp giảm thiểu
- Mã hóa toàn bộ lưu lượng nhạy cảm (TLS 1.2/1.3, SSH, VPN, IPsec, WPA3).
- Triển khai Port Security, Dynamic ARP Inspection (DAI), DHCP Snooping trên switch để chống sniffing/MitM lớp 2.
- Giới hạn quyền truy cập port mirroring/SPAN chỉ cho quản trị viên uy tín.
- Giám sát bất thường lưu lượng mạng (Network Traffic Analysis - NTA/NDR).
- Đào tạo nhân viên nhận diện tấn công xã hội kỹ thuật (social engineering) để cài đặt phần mềm bắt gói tin độc hại.