Packet Capture (PCAP) là gì?
Kỹ thuật ghi lại toàn bộ gói tin dữ liệu đi qua một điểm trong mạng. Dữ liệu lưu dưới dạng file `.pcap` / `.pcapng` (libpcap format) để phân tích sau.
Mục đích sử dụng
- Khắc phục sự cố mạng (troubleshooting): mất gói, độ trễ, reconnect.
- Phát hiện mối đe dọa: mã độc C2, exfiltration, quét cổng, tấn công DDoS.
- Điều tra sự cố an ninh (Forensics): bằng chứng kỹ thuật số.
- Phân tích hiệu năng: throughput, retransmission, window scaling.
Cách hoạt động
- Network Interface Card (NIC) chuyển sang **Promiscuous Mode** hoặc **Monitor Mode** (Wi-Fi).
- Driver/OS chuyển toàn bộ frame/gói tin lên user-space.
- Phần mềm chụp (Wireshark, tcpdump, tshark, Zeek, NetworkMiner) ghi file PCAP.
Công cụ phổ biến
- Wireshark: GUI mạnh, filter hiển thị (display filter), phân tích chuyên sâu.
- tcpdump / tshark: CLI, nhẹ, phù hợp server, tự động hóa.
- Zeek (Bro): Phân tích luồng (flow-based), phát hiện bất thường.
- CloudShark: Phân tích PCAP trên web.
Phân tích PCAP: Tìm gì?
- Three-way handshake TCP (SYN, SYN-ACK, ACK) – xem kết nối thành công/thất bại.
- Gói tin mất (Retransmission, Dup ACK, Out-of-order).
- Expert Information (Wireshark) – cảnh báo lỗi, cảnh báo an ninh.
- Round Trip Time (RTT) graph – độ trễ mạng.
- DNS query/response bất thường (tunneling, fast-flux).
- HTTP/SMB/FTP credential rõ (nếu không mã hóa).
- TLS handshake – phiên bản, cipher suite, chứng chỉ.
Bảo vệ chống nghe lén (Anti-Sniffing)
- Dùng **VPN** / **TLS 1.2+** / **SSH** / **IPsec** mã hóa payload.
- Chuyển sang **WPA3-Enterprise** cho Wi-Fi.
- Segment mạng, tắt port không dùng, port-security.
Vấn đề pháp lý
- Chụp gói tin trên mạng **do mình quản lý** → hợp pháp.
- Chụp mạng người khác **không có sự đồng ý** → có thể vi phạm pháp luật (Wiretap Act, GDPR, Luật An ninh mạng VN).
- Wi-Fi công cộng không mã hóa: thu nhận "dễ dàng truy cập công khai" nhưng vẫn nên tuân thủ luật địa phương.
Wireshark có bất hợp pháp không?
Công cụ hợp pháp. Việc sử dụng trái phép (chụp mạng không có thẩm quyền) mới vi phạm luật.