2.5 Wireshark und TShark – Netzwerkverkehr aufzeichnen und analysieren

Wireshark und TShark verwenden dieselben Protokoll-Dissektoren und dieselbe Display-Filter-Sprache. Die eigentliche Paketaufzeichnung wird üblicherweise von Dumpcap durchgeführt.

Grundlegende Versionsprüfung

Vor dem Mitschnitt müssen mindestens folgende Punkte geklärt werden:

Betriebssystemspezifische Hinweise

Wireshark oder TShark sollten nicht dauerhaft als Administrator beziehungsweise root ausgeführt werden. Besser ist eine gezielte Berechtigung ausschließlich für die Paketaufzeichnung.

Verfügbare Capture-Schnittstellen anzeigen

[RO] tshark -D

Alternativ:

[RO] dumpcap -D

Beispielhafte Ausgabe:

1. \Device\NPF_{...} (Ethernet)
2. \Device\NPF_{...} (WLAN)
3. \Device\NPF_Loopback (Adapter for loopback traffic capture)

Unter Linux oder macOS können Namen wie diese erscheinen:

1. enp0s31f6
2. wlan0
3. lo

oder:

1. en0
2. en1
3. lo0

Die Schnittstelle kann über ihre Nummer oder ihren Namen ausgewählt werden:

[TEST][PRIV] tshark -i 1

[TEST][PRIV] tshark -i en0

Prüfmethode

1. Die vermutete Schnittstelle auswählen.
2. Einen kurzen Mitschnitt starten.
3. Einen bekannten und autorisierten Test erzeugen, beispielsweise eine DNS-Abfrage oder einen Ping.
4. Prüfen, ob die erwarteten Pakete erscheinen.
5. Erst danach den eigentlichen Fehler reproduzieren.

Typische Fehler bei der Schnittstellenauswahl

• WLAN statt Ethernet ausgewählt;
• VPN-Schnittstelle übersehen;
• Loopback-Verkehr auf einer physischen Schnittstelle gesucht;
• virtuelle Schnittstelle einer VM oder eines Containers übersehen;
• nur den Client untersucht, obwohl der Fehler am Server oder Gateway sichtbar wird;
• auf einem Switch-Port mitgeschnitten, an dem der betreffende Verkehr nicht vorbeikommt.

Ein leerer Mitschnitt beweist nicht, dass kein Netzwerkverkehr vorhanden war. Zuerst müssen Schnittstelle, Aufzeichnungspunkt, Berechtigung und Capture-Filter geprüft werden.

Empfohlener Ablauf

1. Wireshark starten.
2. Die Schnittstelle anhand der Paketaktivität und der Systemkonfiguration auswählen.
3. Unter Capture → Options die Schnittstelle kontrollieren.
4. Falls erforderlich einen Capture-Filter eintragen.
5. Die Aufzeichnung starten.
6. Den Fehler möglichst einmal gezielt reproduzieren.
7. Die Aufzeichnung sofort danach beenden.
8. Die Datei im Format pcapng speichern.
9. Zeitpunkt, Client, Server, Testschritt und beobachtetes Verhalten dokumentieren.
10. Für die Analyse Display-Filter verwenden.

Empfohlene Dokumentation

Die Aufzeichnung sollte so kurz und zielgerichtet wie möglich sein. Dadurch sinken Speicherbedarf, Analyseaufwand und Datenschutzrisiko.

Capture-Filter

tcp port 443

Display-Filter

tcp.port == 443

Diese beiden Filter dürfen nicht verwechselt werden.

Ein Capture-Filter verwirft alle nicht passenden Pakete bereits bei der Aufzeichnung. Fehlende Pakete können später nicht wiederhergestellt werden.

Ein Display-Filter verändert die gespeicherte Aufzeichnung nicht. Er kann jederzeit geändert oder entfernt werden.

Für eine Live-Aufzeichnung, die gleichzeitig mit -w gespeichert wird, sollte die Eingrenzung mit -f erfolgen. Ein mit -Y angegebener Display-Filter ist dafür kein Ersatz.

Beispiel: nur HTTPS-Verkehr zu einem Testserver aufzeichnen

[TEST][PRIV][FILE][SENS] tshark -i 1 -f "host 198.51.100.20 and tcp port 443" -a duration:60 -w https-test.pcapng

Wichtige Filterregeln

• Zusammengesetzte Filter in der Shell in Anführungszeichen setzen.
• Bei and müssen beide Bedingungen zutreffen.
• Bei or genügt eine der Bedingungen.
• Mit not wird eine Bedingung ausgeschlossen.
• Klammern verwenden, wenn die logische Reihenfolge sonst unklar ist.
• Einen engen Filter erst nach einem kurzen Kontrollmitschnitt einsetzen.

Filter kombinieren

ip.addr == 192.0.2.10 && tcp.port == 443

dns || dhcp

ip.addr == 192.0.2.10 && (tcp.analysis.retransmission || tcp.analysis.duplicate_ack)

Wichtiger Hinweis zu booleschen Feldern

Dieser Filter prüft nur, ob das Feld vorhanden ist:

tcp.flags.syn

Um ausschließlich gesetzte SYN-Flags zu finden, muss der Wert geprüft werden:

tcp.flags.syn == 1

-c 100 beendet die Aufzeichnung nach 100 erfassten Paketen.

-a duration:60 beendet die Aufzeichnung nach 60 Sekunden.

-a filesize:100000 beendet sie nach ungefähr 100.000 KiB.

-w capture.pcapng schreibt die Rohpakete in eine Mitschnittdatei. Es handelt sich nicht um eine normale Textdatei.

Kontrollierter Beispielablauf

[RO] tshark -D

[TEST][PRIV][FILE][SENS] tshark -i 1 -f "host 198.51.100.20 and tcp port 443" -a duration:60 -w https-test.pcapng

Während der 60 Sekunden wird der Fehler genau einmal reproduziert. Anschließend wird die Datei offline ausgewertet.

Die Option -n deaktiviert die Namensauflösung. Dadurch werden:

• zusätzliche DNS-Anfragen während der Analyse vermieden;
• ursprüngliche IP-Adressen unverändert angezeigt;
• Verzögerungen durch Namensauflösung reduziert;
• Verwechslungen zwischen aufgezeichneten und nachträglich aufgelösten Namen vermieden.

Pakete aus einer Datei filtern und in eine neue Datei schreiben

[RO][FILE][SENS] tshark -r capture.pcapng -Y "ip.addr == 192.0.2.10" -w host-only.pcapng

Dieser Befehl liest eine vorhandene Datei, wendet einen Display-Filter an und schreibt die passenden Pakete in eine neue Mitschnittdatei.

Mit -T fields wird eine tabellarische Feldausgabe erzeugt. Die gewünschten Felder werden mit -e angegeben.

DNS-Abfragen extrahieren

[RO][FILE][SENS] tshark -n -r capture.pcapng -Y "dns.qry.name" -T fields -e frame.time -e ip.src -e ip.dst -e dns.qry.name

TCP-Verbindungen untersuchen

[RO][FILE][SENS] tshark -n -r capture.pcapng -Y "tcp" -T fields -e frame.number -e frame.time_relative -e ip.src -e tcp.srcport -e ip.dst -e tcp.dstport -e tcp.flags

CSV-Ausgabe mit Kopfzeile

[RO][FILE][SENS] tshark -n -r capture.pcapng -Y "dns" -T fields -E header=y -E separator=, -E quote=d -e frame.time -e ip.src -e ip.dst -e dns.qry.name

Bedeutung der Optionen

Bei einem deutschen Tabellenkalkulationsprogramm kann das Komma als Dezimal- oder Listentrennzeichen interpretiert werden. Die Importoptionen müssen deshalb bewusst kontrolliert werden.

Bedeutung

• Protocol Hierarchy zeigt die Verteilung der enthaltenen Protokolle.
• Conversations zeigt Kommunikationsbeziehungen zwischen zwei Endpunkten.
• Endpoints zeigt einzelne IP- oder MAC-Adressen und deren Datenmengen.
• I/O Statistics zeigt Paket- und Datenmengen über die Zeit.
• DNS Statistics zeigt unter anderem DNS-Typen und Antwortcodes.

In Wireshark befinden sich entsprechende Ansichten überwiegend im Menü Statistics.

Ein unbegrenzter Mitschnitt kann eine Festplatte vollständig füllen. Für längere Aufzeichnungen sollte deshalb ein Ringpuffer verwendet werden.

Zwölf Dateien mit jeweils fünf Minuten Aufzeichnungsdauer

[TEST][PRIV][FILE][SENS] tshark -i 1 -b duration:300 -b files:12 -w capture.pcapng

Damit entsteht ein Ringpuffer für ungefähr eine Stunde:

12 Dateien × 5 Minuten = 60 Minuten

Wenn die zwölfte Datei vollständig ist, wird die älteste Datei überschrieben.

Fünf Dateien mit jeweils ungefähr 100.000 KiB

[TEST][PRIV][FILE][SENS] tshark -i 1 -b filesize:100000 -b files:5 -w capture.pcapng

Wichtige Regeln

• -b files:N benötigt zusätzlich duration, interval oder filesize.
• Der Zielordner muss ausreichend Speicherplatz besitzen.
• Der Ringpuffer schützt nicht vor einer zu groß gewählten Gesamtgröße.
• Nach Auftreten des Fehlers muss die Aufzeichnung rechtzeitig beendet werden, bevor relevante Dateien überschrieben werden.
• Die erzeugten Dateien können sensible Inhalte enthalten.

Dateieigenschaften anzeigen

[RO][FILE][SENS] capinfos capture.pcapng

Capinfos zeigt unter anderem:

• Dateityp;
• Kapselungstyp;
• Paketanzahl;
• Dateigröße;
• Aufzeichnungsdauer;
• Zeitpunkt des ersten Pakets;
• Zeitpunkt des letzten Pakets;
• durchschnittliche Paket- und Datenrate;
• vorhandene Schnittstelleninformationen.

Kompakte tabellarische Ausgabe

[RO][FILE][SENS] capinfos -T capture.pcapng

Mehrere Dateien zusammenführen

[RO][FILE][SENS] mergecap -w merged.pcapng part1.pcapng part2.pcapng

Mergecap ordnet Pakete standardmäßig anhand ihrer Zeitstempel ein. Deshalb müssen die Systemuhren der beteiligten Aufzeichnungssysteme möglichst genau synchronisiert sein.

Vor dem Zusammenführen sollten die Zeiträume geprüft werden:

[RO][FILE][SENS] capinfos part1.pcapng part2.pcapng

Schritt 1: Verbindungsaufbau suchen

tcp.flags.syn == 1 && tcp.flags.ack == 0

Ein regulärer TCP-Verbindungsaufbau besteht vereinfacht aus:

Interpretation

Hilfreiche Filter

tcp.flags.reset == 1

tcp.analysis.retransmission

tcp.analysis.duplicate_ack

tcp.analysis.zero_window

tcp.analysis.window_full

TCP-Stream isolieren

Nach Auswahl eines TCP-Pakets kann in Wireshark verwendet werden:

Analyze → Follow → TCP Stream

Alternativ lässt sich nach einer Streamnummer filtern:

tcp.stream == 0

Eine TCP-Wiederholungsübertragung ist zunächst eine Beobachtung und noch keine eindeutige Ursache. Sie kann durch echten Paketverlust, verspätete Pakete, einen unvollständigen Mitschnitt, asymmetrisches Routing oder den Aufzeichnungspunkt entstehen.

Grundfilter

dns

Nur DNS-Anfragen

dns.flags.response == 0

Nur DNS-Antworten

dns.flags.response == 1

Bestimmten Namen untersuchen

dns.qry.name == "example.com"

Fehlerantworten anzeigen

dns.flags.response == 1 && dns.flags.rcode != 0

Typische Beobachtungen

TShark-Auswertung

[RO][FILE][SENS] tshark -n -r capture.pcapng -Y "dns" -T fields -e frame.time_relative -e ip.src -e ip.dst -e dns.id -e dns.qry.name -e dns.flags.response -e dns.flags.rcode

Bei DNS-Problemen müssen Paketmitschnitt und lokale Resolver-Konfiguration gemeinsam betrachtet werden. Ein korrekter DNS-Austausch beweist noch nicht, dass die Anwendung das Ergebnis richtig verarbeitet hat.

Display-Filter

dhcp

Capture-Filter

udp port 67 or udp port 68

Der reguläre DHCPv4-Ablauf wird häufig als DORA bezeichnet:

Interpretation

Bei VLAN-übergreifendem DHCP muss zusätzlich der DHCP-Relay beziehungsweise IP-Helper untersucht werden.

TLS-Verkehr

tls

TLS-Handshake

tls.handshake

TLS-Warnungen und Fehler

tls.alert_message

TCP-Port 443 zusammen mit TLS

tcp.port == 443 && tls

Typischer vereinfachter Ablauf

1. TCP-Verbindung wird aufgebaut.
2. Client sendet einen TLS-ClientHello.
3. Server sendet einen TLS-ServerHello.
4. Zertifikats- und Schlüsselparameter werden ausgetauscht.
5. Die verschlüsselte Anwendungskommunikation beginnt.

Beobachtungen

Der Inhalt moderner HTTPS-Verbindungen ist verschlüsselt. Ohne ausdrücklich autorisierte Schlüssel- oder Debug-Daten sind hauptsächlich Metadaten, TCP-Verhalten und Teile des TLS-Handshakes sichtbar.

Checksum Offloading

Bei ausgehenden Paketen kann das Betriebssystem die endgültige Prüfsumme erst durch die Netzwerkkarte berechnen lassen. Ein Mitschnitt auf dem sendenden System kann das Paket vor dieser Berechnung erfassen. Wireshark kennzeichnet die Prüfsumme dann möglicherweise als fehlerhaft, obwohl sie auf dem Übertragungsmedium korrekt war.

TCP-Analysekennzeichnungen

Filter wie tcp.analysis.retransmission sind Ergebnisse der Wireshark-Analyse. Sie sind wertvolle Hinweise, aber keine automatische Ursachenfeststellung.

Der geeignete Mitschnittpunkt hängt vom vermuteten Fehlerbereich ab.

In einem geswitchten Ethernet-Netz sieht ein Endgerät normalerweise:

• eigene ein- und ausgehende Pakete;
• Broadcastverkehr;
• bestimmten Multicastverkehr;
• nicht automatisch den gesamten Unicastverkehr anderer Systeme.

Für fremden Unicastverkehr ist ein autorisierter Mirror-/SPAN-Port, Netzwerk-TAP oder ein Mitschnitt direkt auf einem Endpunkt erforderlich.

Vergleichsmethode

Client-Mitschnitt → Netzwerkübergang → Server-Mitschnitt

Wenn ein Paket im Client-Mitschnitt vorhanden ist, aber im Server-Mitschnitt fehlt, liegt die Unterbrechung wahrscheinlich zwischen diesen Punkten. Für eine belastbare Aussage müssen Filter, Zeitstempel und Aufzeichnungsvollständigkeit geprüft werden.

Vorbereitung

1. Störung und erwartetes Verhalten dokumentieren.
2. Client, Server, IP-Adressen, Ports und Protokolle bestimmen.
3. Fehlerzeitpunkt und reproduzierbaren Test festlegen.
4. Berechtigung für den Mitschnitt prüfen.
5. Zeitsynchronisation der beteiligten Systeme prüfen.
6. Speicherort und Speicherplatz kontrollieren.

Aufzeichnung

7. Richtige Schnittstelle mit tshark -D oder Wireshark bestimmen.
8. Einen kurzen Kontrollmitschnitt durchführen.
9. Einen angemessenen Capture-Filter setzen.
10. Zeit-, Paket- oder Dateigrößenbegrenzung festlegen.
11. Aufzeichnung starten.
12. Fehler genau einmal reproduzieren.
13. Aufzeichnung sofort beenden.
14. Datei eindeutig benennen und sicher speichern.

Analyse

15. Zuerst Protokollhierarchie, Endpunkte und Konversationen prüfen.
16. Relevante Client-Server-Kommunikation isolieren.
17. ARP, DHCP und DNS vor TCP und Anwendung betrachten.
18. TCP-Verbindungsaufbau, Abbruch und Wiederholungen prüfen.
19. Anschließend TLS- oder Anwendungsprotokoll untersuchen.
20. Zeitstempel mit Server-, Firewall- und Anwendungslogs vergleichen.
21. Beobachtung und mögliche Ursache voneinander trennen.

Validierung

22. Hypothese durch einen kontrollierten Vergleichstest prüfen.
23. Falls erforderlich, Mitschnitte an zwei Punkten vergleichen.
24. Nach einer Änderung denselben Test erneut durchführen.
25. Ergebnis, Änderung und Nachweis dokumentieren.

Paketmitschnitte können enthalten:

• interne und externe IP-Adressen;
• MAC-Adressen;
• DNS-Anfragen;
• Hostnamen;
• Benutzernamen;
• unverschlüsselte Passwörter;
• Cookies und Sitzungstoken;
• E-Mail- oder Chat-Inhalte;
• übertragene Dateien;
• Zertifikatsinformationen;
• Informationen über interne Systeme und Dienste.

Mindestmaßnahmen

• nur mit dokumentierter Berechtigung aufzeichnen;
• Umfang und Dauer minimieren;
• möglichst früh einen geeigneten Capture-Filter verwenden;
• Dateien ausschließlich in geschützten Verzeichnissen speichern;
• Zugriff auf zuständige Personen beschränken;
• Dateien nicht unkontrolliert per E-Mail oder Messenger versenden;
• für externe Analysen nur notwendige Pakete bereitstellen;
• Aufbewahrungs- und Löschfristen beachten;
• Weitergabe und Bearbeitung dokumentieren;
• nicht mehr benötigte Mitschnittdateien sicher löschen.

Das Öffnen von Follow TCP Stream, Follow HTTP Stream oder ähnlichen Ansichten kann zusammenhängende Anwendungsdaten sichtbar machen. Diese Funktionen dürfen deshalb nur bei entsprechender Berechtigung verwendet werden.

TShark-Befehle

Wichtige Capture-Filter

Wichtige Display-Filter