Cómo usar los filtros de visualización en Wireshark
Wireshark es un analizador de paquetes de red basado en GUI que te permite inspeccionar datos de paquetes de una red en vivo, así como de un archivo previamente capturado. Aunque es una herramienta muy poderosa, un problema común que enfrentan los principiantes es que muestra tantos datos que se vuelve realmente difícil para ellos identificar la información real que están buscando. Aquí es donde los filtros de visualización de Wireshark son útiles.
Nota – Si eres completamente nuevo en Wireshark, se recomienda que primero pases por su tutorial básico.
Filtros de visualización
Aquí hay un ejemplo de una captura en vivo en Wireshark:
Ten en cuenta que una parte importante de la interfaz gráfica de usuario se utiliza para mostrar información (como Hora, Fuente, Destino y más) sobre todos los paquetes entrantes y salientes. Para filtrar esta información según tus requisitos, necesitas utilizar el cuadro de Filtro presente en la parte superior de la ventana.
1. Filtrar información según el protocolo
Para filtrar resultados basados en un protocolo específico, simplemente escribe su nombre en el cuadro de filtro y presiona enter. Por ejemplo, la siguiente captura de pantalla muestra información relacionada con el protocolo HTTP:
Observa que la columna de Protocolo contiene solo entradas de HTTP. Si se requiere información relacionada con más de un protocolo, ingresa los nombres de los protocolos separados por un doble pipe (o un operador OR lógico) ||. Aquí hay un ejemplo:
http || arp || icmp
2. Filtrar información según la dirección IP
Para filtrar resultados según la IP de origen, utiliza el filtro ip.src. Aquí hay un ejemplo:
ip.src==50.116.24.50
De manera similar, utiliza ip.dst para filtrar resultados según la dirección IP de destino. Para mostrar tanto los paquetes de origen como de destino con una IP particular, utiliza el filtro ip.addr. Aquí hay un ejemplo:
ip.addr==50.116.24.50
Observa que los paquetes con dirección IP de origen o de destino como 50.116.24.50 se muestran en la salida.
Para excluir paquetes con una dirección IP específica, utiliza el operador !=. Aquí hay un ejemplo:
ip.src!=50.116.24.50
3. Filtrar información según el puerto
También puedes filtrar el tráfico capturado según los puertos de red. Por ejemplo, para mostrar solo esos paquetes que contienen el puerto de origen o de destino TCP 80, utiliza el filtro tcp.port. Aquí hay un ejemplo:
tcp.port==80
De manera similar, puedes usar tcp.srcport y tcp.dstport para filtrar resultados según los puertos de origen y de destino TCP, respectivamente.
Wireshark también tiene la capacidad de filtrar resultados según los flags TCP. Por ejemplo, para mostrar solo aquellos paquetes TCP que contienen el flag SYN, utiliza el filtro tcp.flags.syn. Aquí hay un ejemplo:
De manera similar, también puedes filtrar resultados según otros flags como ACK, FIN, y más, utilizando filtros como tcp.flags.ack, tcp.flags.fin, y más, respectivamente.
4. Algunos otros filtros útiles
Wireshark muestra los datos contenidos en un paquete (que actualmente está seleccionado) en la parte inferior de la ventana. A veces, al depurar un problema, es necesario filtrar paquetes basados en una secuencia de bytes particular. Puedes hacerlo fácilmente usando Wireshark.
Por ejemplo, los paquetes TCP que contienen la secuencia de bytes 00 00 01 se pueden filtrar de la siguiente manera:
tcp contains 00:00:01
Continuando, así como puedes filtrar resultados según las direcciones IP (explicado anteriormente), también puedes filtrar resultados según las direcciones MAC, utilizando el filtro eth.addr. Por ejemplo, para ver todo el tráfico que entra y sale de una máquina con dirección MAC, digamos AA:BB:CC:DD:EE:FF, usa el siguiente comando de filtro:
eth.addr == AA:BB:CC:DD:EE:FFConclusión
Apenas hemos raspado la superficie aquí, ya que Wireshark tiene mucho más que ofrecer. Para más información sobre los filtros de visualización de Wireshark, visita el sitio web oficial de Wireshark o el sitio web Wiki de Wireshark. Si tienes alguna duda o consulta, deja un comentario a continuación.
