Bilgi Bankası

Wireshark Nedir ve Ne İşe Yarar?

Wireshark, ağ trafiğini analiz etmek ve sorunları gidermek için kullanılan, dünyanın en popüler ve güçlü açık kaynaklı ağ protokolü analizörüdür. Temel olarak, ağ kartınızdan geçen tüm veri paketlerini yakalar ve bunları insan tarafından okunabilir bir formatta görüntüler. Bu, ağınızdaki iletişimi detaylı bir şekilde incelemenizi, potansiyel güvenlik açıklarını tespit etmenizi, performans sorunlarını belirlemenizi ve uygulamaların nasıl çalıştığını anlamanızı sağlar.

• Ağ Sorunlarını Giderme: Ağ bağlantısı sorunları, yavaş performans, paket kayıpları gibi durumlarda Wireshark ile analiz yaparak sorunun kaynağını bulabilirsiniz.
• Güvenlik Analizi: Şüpheli ağ trafiğini tespit ederek, yetkisiz erişim girişimlerini veya kötü amaçlı yazılımların iletişimlerini ortaya çıkarabilirsiniz.
• Uygulama Geliştirme: Uygulamaların ağ üzerindeki davranışlarını inceleyerek, performansı optimize edebilir ve hataları düzeltebilirsiniz.
• Protokol Öğrenimi: Farklı ağ protokollerinin nasıl çalıştığını uygulamalı olarak öğrenmek için Wireshark ideal bir araçtır.

Wireshark Nasıl Çalışır? Paket Yakalama ve Analiz Süreci

Wireshark'ın çalışma prensibi oldukça basittir: ağ kartınızdan geçen tüm paketleri yakalar ve bunları analiz etmenizi sağlar. Bu süreç genel olarak şu adımlardan oluşur:

1. Paket Yakalama: Wireshark, ağ kartınızı "promiscuous mode" (ayrım gözetmeyen mod) adı verilen bir moda geçirir. Bu modda, ağ kartınız sadece kendisine gönderilen paketleri değil, ağdaki tüm paketleri dinler.
2. Paket Filtreleme (İsteğe Bağlı): Yakalanan paketlerin sayısını azaltmak ve analizi kolaylaştırmak için filtreler kullanabilirsiniz. Örneğin, belirli bir IP adresinden gelen veya belirli bir protokolle iletişim kuran paketleri filtreleyebilirsiniz.
3. Paket Analizi: Wireshark, yakalanan paketleri protokollerine göre ayrıştırır ve her bir paketin içeriğini detaylı olarak görüntüler. Bu sayede, paketlerin hangi protokolle iletişim kurduğunu, kaynak ve hedef adreslerini, veri içeriğini ve diğer önemli bilgileri inceleyebilirsiniz.

Örnek: Bir web sitesine erişirken oluşan HTTP trafiğini analiz etmek için, `http` filtresini kullanabilirsiniz. Bu filtre, sadece HTTP protokolüyle ilgili paketleri gösterecektir.

# HTTP trafiğini filtreleme
http

Görsel Açıklama: (Metinsel Açıklama) Bir şema düşünün. Şema, kullanıcının bilgisayarından çıkan bir HTTP isteğinin, Wireshark tarafından yakalanmasını ve analiz edilmesini gösteriyor. Şema, paket yakalama, filtreleme ve analiz adımlarını görsel olarak temsil ediyor.

Wireshark'ı Kurulumu ve Temel Konfigürasyonu

Wireshark'ı kurmak oldukça basittir. Aşağıdaki adımları takip ederek kurulumu gerçekleştirebilirsiniz:

1. Wireshark'ı İndirin: Wireshark'ın resmi web sitesinden (www.wireshark.org) işletim sisteminize uygun olan sürümü indirin.
2. Kurulumu Başlatın: İndirdiğiniz kurulum dosyasını çalıştırın ve kurulum sihirbazını takip edin.
3. Npcap'ı Kurun: Wireshark kurulumu sırasında, Npcap (Windows Packet Capture) adlı bir paket yakalama sürücüsünün kurulması istenecektir. Npcap'ı kurmanız, Wireshark'ın ağ kartınızdan paketleri yakalayabilmesi için gereklidir.
4. Ağ Arayüzünü Seçin: Kurulum tamamlandıktan sonra, Wireshark'ı başlatın ve paket yakalamak istediğiniz ağ arayüzünü seçin.

Önemli Not: Windows üzerinde Wireshark'ı kullanırken, paket yakalama işlemi için yönetici ayrıcalıklarına sahip olmanız gerekebilir.

Temel Konfigürasyon:

• Arayüz Seçimi: Wireshark'ı açtığınızda, yakalama yapabileceğiniz ağ arayüzlerinin bir listesini göreceksiniz. Doğru arayüzü seçtiğinizden emin olun (örneğin, Ethernet, Wi-Fi).
• Filtreleme: Başlangıçta çok fazla trafik yakalayabilirsiniz. Filtreler kullanarak sadece ilgilendiğiniz trafiği görüntüleyebilirsiniz.
• Profil Oluşturma: Farklı analiz senaryoları için farklı profiller oluşturabilirsiniz. Bu profiller, filtreleri, sütunları ve diğer ayarları saklamanıza olanak tanır.

Wireshark Filtreleri: Yakalama ve Görüntüleme Filtreleri

Wireshark filtreleri, yakalanan paketlerin sayısını azaltmak ve analizi kolaylaştırmak için kullanılan güçlü araçlardır. İki tür filtre bulunur:

• Yakalama Filtreleri: Paket yakalama işlemi sırasında uygulanan filtrelerdir. Bu filtreler, sadece belirli kriterlere uyan paketlerin yakalanmasını sağlar. Yakalama filtreleri, büyük miktarda trafiği analiz ederken performansı artırmak için önemlidir.
• Görüntüleme Filtreleri: Yakalanan paketler üzerinde uygulanan filtrelerdir. Bu filtreler, sadece belirli kriterlere uyan paketlerin görüntülenmesini sağlar. Görüntüleme filtreleri, yakalanan veriler arasında arama yapmak ve belirli sorunları tespit etmek için kullanışlıdır.

Yakalama Filtreleri Örnekleri:

• `host 192.168.1.100`: Sadece 192.168.1.100 IP adresine sahip olan paketleri yakalar.
• `port 80`: Sadece 80 portunu kullanan paketleri yakalar (HTTP trafiği).
• `tcp`: Sadece TCP protokolünü kullanan paketleri yakalar.

Görüntüleme Filtreleri Örnekleri:

• `ip.src == 192.168.1.100`: Kaynak IP adresi 192.168.1.100 olan paketleri görüntüler.
• `tcp.port == 443`: TCP portu 443 olan paketleri görüntüler (HTTPS trafiği).
• `http.request.method == "GET"`: HTTP GET isteklerini görüntüler.

Önemli Not: Yakalama filtreleri, daha az kaynak tüketir ve büyük miktarda trafiği analiz ederken daha etkilidir. Görüntüleme filtreleri ise, yakalanan veriler arasında daha detaylı arama yapmak için daha uygundur.

# Belirli bir IP adresinden gelen ve 80 portunu kullanan paketleri yakalama filtresi
host 192.168.1.100 and port 80

# HTTP GET isteklerini görüntüleme filtresi
http.request.method == "GET"

Wireshark ile Sık Karşılaşılan Ağ Sorunlarını Giderme

Wireshark, ağ sorunlarını gidermek için güçlü bir araçtır. İşte Wireshark ile çözebileceğiniz bazı yaygın ağ sorunları:

• Yavaş Ağ Performansı: Wireshark ile ağ trafiğini analiz ederek, yavaş performansa neden olan faktörleri (örneğin, yüksek gecikme süresi, paket kayıpları, aşırı bant genişliği kullanımı) tespit edebilirsiniz.
• Bağlantı Sorunları: Wireshark ile bağlantı sorunlarının nedenini (örneğin, DNS sorunları, yanlış yapılandırılmış IP adresleri, güvenlik duvarı engellemeleri) belirleyebilirsiniz.
• Güvenlik Açıkları: Wireshark ile şüpheli ağ trafiğini analiz ederek, yetkisiz erişim girişimlerini, kötü amaçlı yazılımların iletişimlerini veya veri sızıntılarını tespit edebilirsiniz.
• Uygulama Performans Sorunları: Wireshark ile uygulamaların ağ üzerindeki davranışlarını inceleyerek, performans sorunlarına neden olan hataları veya optimizasyon eksikliklerini düzeltebilirsiniz.

Vaka Çalışması: Bir şirketin web sitesi yavaş çalışıyordu. Wireshark ile yapılan analizde, web sunucusuna yapılan çok sayıda SYN isteği tespit edildi. Bu, bir DDoS saldırısının işaretiydi. Güvenlik önlemleri alınarak saldırı engellendi ve web sitesinin performansı düzeldi.

Adım Adım Süreç: Yavaş Ağ Performansını Giderme

1. Paket Yakalama: Wireshark'ı başlatın ve ağ trafiğini yakalamaya başlayın.
2. Filtreleme: Ağ trafiğini filtrelemek için uygun filtreleri kullanın (örneğin, `tcp.analysis.flags`, `tcp.time_delta`).
3. Analiz: Yakalanan paketleri analiz edin ve yavaş performansa neden olan faktörleri belirleyin (örneğin, yüksek gecikme süresi, paket kayıpları).
4. Çözüm: Sorunun kaynağını belirledikten sonra, uygun çözümleri uygulayın (örneğin, ağ cihazlarını yeniden başlatın, güvenlik duvarı kurallarını güncelleyin, uygulamaları optimize edin).

Wireshark ile Güvenlik Analizi: Şüpheli Trafiği Tespit Etme

Wireshark, ağınızdaki şüpheli trafiği tespit etmek ve potansiyel güvenlik açıklarını ortaya çıkarmak için kullanılabilir. İşte Wireshark ile yapabileceğiniz bazı güvenlik analizleri:

• Yetkisiz Erişim Girişimleri: Wireshark ile ağ trafiğini analiz ederek, yetkisiz erişim girişimlerini (örneğin, brute-force saldırıları, port taramaları) tespit edebilirsiniz.
• Kötü Amaçlı Yazılım İletişimleri: Wireshark ile kötü amaçlı yazılımların ağ üzerindeki iletişimlerini (örneğin, komuta ve kontrol sunucularına yapılan bağlantılar, veri sızıntıları) tespit edebilirsiniz.
• Veri Sızıntıları: Wireshark ile hassas verilerin ağ üzerinden şifrelenmemiş olarak gönderilip gönderilmediğini kontrol edebilirsiniz.
• Şüpheli Protokol Kullanımı: Wireshark ile ağınızda nadiren kullanılan veya beklenmeyen protokollerin kullanımını tespit edebilirsiniz.

Örnek: Bir bilgisayarın sürekli olarak bilinmeyen bir IP adresine veri gönderdiği tespit edildi. Wireshark ile yapılan analizde, bu bağlantının şifrelenmemiş olduğu ve hassas veriler içerdiği ortaya çıktı. Bilgisayarın kötü amaçlı bir yazılımla enfekte olduğu anlaşıldı ve gerekli temizleme işlemleri yapıldı.

# Belirli bir IP adresine yapılan bağlantıları filtreleme
ip.dst == 192.168.1.200

# Şifrelenmemiş HTTP trafiğini filtreleme
http.request

Tablo: Wireshark ile Yapılabilecek Güvenlik Analizi Türleri

Wireshark'ın Gelişmiş Özellikleri ve İpuçları

Wireshark, temel analiz yeteneklerinin ötesinde, daha karmaşık analizler yapmanıza olanak tanıyan bir dizi gelişmiş özelliğe sahiptir. İşte bazı önemli özellikler ve ipuçları:

• Protokol Ayrıştırıcıları: Wireshark, yüzlerce farklı ağ protokolünü destekler ve her bir protokol için özel ayrıştırıcılar içerir. Bu ayrıştırıcılar, paketlerin içeriğini daha detaylı bir şekilde analiz etmenizi sağlar.
• Grafiksel Analiz Araçları: Wireshark, ağ trafiğini görsel olarak analiz etmenize olanak tanıyan çeşitli grafiksel araçlar sunar. Bu araçlar, trendleri, anormallikleri ve diğer önemli bilgileri daha kolay tespit etmenize yardımcı olur.
• Lua Scripting: Wireshark, Lua scripting dilini destekler. Bu sayede, kendi özel ayrıştırıcılarınızı, filtrelerinizi ve analiz araçlarınızı oluşturabilirsiniz.
• Komut Satırı Araçları: Wireshark, komut satırından kullanabileceğiniz çeşitli araçlar sunar (örneğin, `tshark`). Bu araçlar, otomatik analizler yapmak veya Wireshark'ı diğer araçlarla entegre etmek için kullanışlıdır.

İpuçları:

• Filtreleri Öğrenin: Wireshark filtreleri, analizinizi hızlandırmak ve odaklanmanızı sağlamak için kritik öneme sahiptir. Düzenli olarak kullanılan filtreleri öğrenin ve kendi özel filtrelerinizi oluşturun.
• Protokolleri Anlayın: Analiz ettiğiniz protokollerin nasıl çalıştığını anlamak, sorunları daha hızlı çözmenize yardımcı olacaktır.
• Düzenli Olarak Güncelleyin: Wireshark'ı düzenli olarak güncelleyerek, en son güvenlik açıklarına karşı korunabilir ve yeni özelliklerden yararlanabilirsiniz.
• Pratik Yapın: Wireshark'ı ne kadar çok kullanırsanız, o kadar yetenekli hale gelirsiniz. Farklı senaryolar üzerinde pratik yaparak, Wireshark'ın tüm potansiyelini ortaya çıkarabilirsiniz.

Tablo: Wireshark Komut Satırı Araçları (tshark)

Örnek Lua Script:

-- Bir HTTP isteğinin uzunluğunu hesaplayan Lua script'i
local http_proto = Proto("http_length", "HTTP Length Calculator")

local length_field = ProtoField.uint32("http_length.length", "HTTP Length", base.DEC)

http_proto.fields = {length_field}

function http_proto.dissector(tvbuf, pktinfo, tree)
  local length = tvbuf:len()
  local subtree = tree:add(http_proto, tvbuf:range(0, length), "HTTP Length: " .. length)
  subtree:add(length_field, tvbuf:range(0, length), length)
end

register_postdissector(http_proto)

Bu script, her HTTP isteğinin uzunluğunu hesaplar ve Wireshark arayüzünde görüntüler. Bu tür scriptler, Wireshark'ın yeteneklerini genişletmek için kullanılabilir.