Wireshark là gì?
Wireshark là trình phân tích giao thức mạng (Network Protocol Analyzer) mã nguồn mở, miễn phí, chạy đa nền tảng (Windows, Linux, macOS). Cho phép bắt gói tin (packet capture) thời gian thực và phân tích offline. Là công cụ tiêu chuẩn事实上 trong ngành mạng và an ninh mạng.
Tại sao Wireshark hữu ích cho An ninh mạng?
1. Phân tích lưu lượng bất thường & Phát hiện tấn công
- DDoS: Xem flood SYN, UDP, ICMP, HTTP GET. Lọc:
tcp.flags.syn == 1 and tcp.flags.ack == 0. - Port Scanning: Nhiều SYN đến nhiều cổng từ 1 IP nguồn. Lọc:
tcp.flags.syn == 1 and tcp.flags.ack == 0+ thống kê Source IP. - Brute Force (SSH, RDP, FTP, SQL): Nhiều gói tin thất bại liên tiếp. Lọc:
ssh.auth.method == "password" && ssh.auth.failed == True. - Malware C2 Beaconing: Kết nối định kỳ, kích thước gói tin nhỏ, domain lạ (DGA).
- Data Exfiltration: Upload lượng lớn dữ liệu ra IP ngoại部, DNS Tunneling (TXT record lớn).
- ARP Spoofing / MITM: Nhiều ARP reply cho cùng IP, MAC冲突.
2. Troubleshooting thiết bị bảo mật
- Kiểm tra rule Firewall: Gói tin có đến được firewall? Có bị drop? NAT đúng không?
- Debug VPN (IPsec, SSL VPN): Xem handshake, ISAKMP, ESP packets.
- Kiểm tra TLS/SSL Handshake: Version, Cipher Suite, Certificate chain, SNI, ALPN.
- Verify IDS/IPS alert: Xem gói tin触发 rule có thực sự độc hại không (False positive).
3. Phân tích Malware Traffic (Malware Traffic Analysis)
- Xuất file/object từ luồng HTTP/SMB/FTP (
File > Export Objects). - Phân tích hành vi: Kết nối C2, Download payload, Lateral movement (SMB, RPC, WMI).
- So sánh với IOC (Indicators of Compromise): IP, Domain, Hash, JA3 fingerprint.
4. Hỗ trợ Incident Response & Forensics
- Thu thập bằng chứng (Evidence): File pcap là bằng chứng gốc (Original evidence).
- Timeline analysis: Xây dựng chuỗi sự kiện từ timestamp gói tin.
- Attribution: Xác định nguồn tấn công (IP, Tool, TTPs).
5. Học tập & Nghiên cứu (Education & Research)
- Hiểu sâu giao thức: TCP 3-way handshake, TLS 1.2/1.3, DNS, DHCP, HTTP/2, QUIC.
- Phân tích mẫu tấn công công khai (PCAP từ malware-traffic-analysis.net, NETRESEC).
- Certification: Wireshark Certified Network Analyst (WCNA).
Ưu điểm nổi bật
- Miễn phí, Open Source (GPLv2).
- Cross-platform: Windows, Linux, macOS, FreeBSD.
- Hỗ trợ 3000+ giao thức (được cập nhật liên tục).
- Lọc mạnh (Display Filter & Capture Filter) cú pháp phong phú.
- Đồ thị hóa: IO Graph, Flow Graph, TCP Stream Graph, VoIP Analysis.
- Extensible: Lua scripting, Plugin, Extcap (capture từ 802.11, Bluetooth, USB, CAN bus...).
- Cộng đồng lớn: Wiki, Q&A, Sample captures, Profiles chia sẻ.
Rủi ro & Pháp lý (Quan trọng!)
- Chỉ bắt gói tin trên mạng BẠN QUẢN LÝ hoặc CÓ SỬ DỤNG PHÉP. Bắt gói tin mạng người khác (cafe, công ty, nhà xóm) vi phạm pháp luật (Luật An ninh mạng, Luật Hình sự nhiều quốc gia).
- Có thể thấy mật khẩu, token, dữ liệu nhạy cảm nếu truyền qua giao thức không mã hóa (HTTP, FTP, Telnet, SNMPv1/v2c, POP3/IMAP/SMTP không SSL). Không khai thác thông tin này.
- Promiscuous Mode / Monitor Mode cần quyền Admin/Root.
So sánh nhanh
| Công cụ | Phù hợp cho | Độ phức tạp |
|---|---|---|
| Wireshark | Phân tích sâu gói tin, Troubleshooting, Forensics, Học tập | Trung bình - Cao |
| tcpdump / tshark | Server headless, Script automation, Capture lâu dài | Cao (CLI) |
| Fiddler / Charles / Burp Suite | Web App Testing, HTTP/HTTPS Debugging | Trung bình |
| NetworkMiner | Passive Network Forensics, File carving từ pcap | Thấp - Trung bình |
| Zeek (Bro) | Network Security Monitoring (NSM) production, High volume | Cao |
Kết luận
Wireshark là dao găm Thụy Sĩ của Network Engineer và Security Analyst. Nắm vững Wireshark = Hiểu bản chất giao thức = Khắc phục sự cố nhanh + Phát hiện tấn công chính xác + Điều tra sự cố chuyên nghiệp. Học Wireshark là bắt buộc cho người theo nghề An ninh mạng/Mạng máy tính.