Wireshark 개론, 네트워크 패킷 분석 툴

1. wireshark 란 무엇일까?

• 무료 오픈 툴(tool)로서 네트워크 상의 패킷을 분석해서 보여주는 도구
• 참고 > 처음 배포되었을 때의 툴의 이름은 Ethereal(이더리얼)이었으나 회선 위에서 상어가 패킷을 잡아먹는 것과 유사하다고 하여 프로그램의 이름을 wireshark(와이어샤크)로 개명
• 유닉스와 윈도우에서 둘 다 사용이 가능하며 실시간으로 패킷 확인이 가능하여 유용
• 추가로 패킷을 캡쳐하기 위해 pcap 네트워크 라이브러리를 사용
• 엔지니어들이 네트워크적 문제를 해결하는데 많이 사용하는 도구

 

2. wireshark 사용법

1번

메뉴들을 나타내며 [ File | Edit | View | Go | Capture | Analyze | Statistics | Help ] 총 8개의 메뉴로 구성되어 있음

• [File] : 캡쳐 데이터를 열거나 저장
• [Edit] : 패킷을 찾거나 표시합니다. 프로그램의 속성 설정 (예를 들어, ssl 패킷을 보기 위한 개인키 등록 등)
• [View] : wireshark 플랫폼의 보이는 모양 설정
• [Go] : 캡쳐된 데이터를 특정 위치로 이동
• [Capture] : 캡처 필터 옵션을 설정하고 캡처 시작
• [Analyze] : 분석 옵션 설정
• [Statistics] : wireshark 통계 데이터 확인
• [Help] : 도움말 보기

2번

• 출발지와 목적지를 기준으로 오고가는 패킷들을 시간순서대로 리스트 형식으로 나열해 놓은 것을 확인할 수 있음

3번

• 2번 출력창에서 선택한 하나의 단일 패킷에 대하여 세부내용을 정리해서 보여주는 상세 정보창
• 이 창을 통하여 각 계층에서 어떤 프로토콜을 사용하였는지, 출발지/목적지의 맥 주소 등의 정보를 알 수 있음
• 프로토콜의 필드값에 대하여 자세하게 확인이 가능!

4번

• 2번 출력창에서 선택한 하나의 단일 패킷에 대하여 패킷 데이터를 16진수와 ASCII 코드로 보여줌

 

3. 필터

1) 중요한 이유

① 로그에 기록되는 데이터를 선택하기 위해 사용 (캡처가 시작되기 전에 정의)
Ex) 메뉴 - Capture

② 캡쳐된 로그에서 데이터를 찾을 때 사용 (데이터가 캡처되는 동안/후에 수정 가능)
Ex) 메뉴 - Display

 

---

[ reference ]

wireshark 완전정복하기[PART.1]