LinuxParty

Wireshark es una herramienta poderosa y gratuita para analizar el tráfico de red, ampliamente utilizada por administradores de sistemas, profesionales de la seguridad y entusiastas de la informática para diagnosticar problemas, detectar vulnerabilidades y comprender el funcionamiento interno de las comunicaciones en red. A continuación, se presenta una guía detallada basada en el artículo original de TuxRadar y complementada con información actualizada para ayudarte a dominar Wireshark desde cero. 

¿Qué es Wireshark y para qué sirve?

Wireshark es una herramienta esencial para cualquier persona interesada en redes y seguridad informática. Su capacidad para capturar y analizar paquetes en detalle la convierte en una aliada poderosa para diagnosticar problemas, aprender sobre protocolos y fortalecer la seguridad de las comunicaciones. Con práctica y responsabilidad, Wireshark puede ser una ventana invaluable al mundo del tráfico de red.

Según la Wikipedia, Wireshark es un analizador de protocolos de red que permite capturar y examinar en detalle los paquetes de datos que circulan por una red. Con él, puedes observar en tiempo real cómo se comunican los dispositivos, identificar problemas de conectividad, analizar protocolos específicos y detectar posibles actividades maliciosas.

A diferencia de herramientas como tcpdump, Wireshark ofrece una interfaz gráfica intuitiva que facilita la visualización y el análisis de los datos capturados. Además, incluye una versión de línea de comandos llamada tshark para entornos donde no se dispone de una interfaz gráfica.

Instalación de Wireshark

En sistemas basados en Debian/Ubuntu:

Puedes instalar Wireshark desde los repositorios oficiales ejecutando:

sudo apt update
sudo apt install wireshark

Durante la instalación, se te preguntará si los usuarios no privilegiados pueden capturar paquetes. Si deseas permitirlo, selecciona "Sí" y luego agrega tu usuario al grupo wireshark:

sudo usermod -aG wireshark $USER

Después, reinicia tu sesión para que los cambios surtan efecto.

En Windows y macOS:

Descarga el instalador adecuado desde el sitio oficial: https://www.wireshark.org/download.html(wireshark.org)

Sigue las instrucciones del asistente de instalación. En Windows, se instalará automáticamente el controlador Npcap, necesario para la captura de paquetes.

Primeros pasos con Wireshark

Selección de la interfaz de red

Al iniciar Wireshark, se mostrará una lista de las interfaces de red disponibles en tu sistema. Selecciona la interfaz que deseas monitorear (por ejemplo, Ethernet o Wi-Fi) y haz clic en "Iniciar" para comenzar la captura de paquetes.

Captura de tráfico

Una vez iniciada la captura, Wireshark mostrará en tiempo real los paquetes que atraviesan la interfaz seleccionada. Cada fila representa un paquete, con información como el número de paquete, hora de captura, dirección de origen y destino, protocolo y una breve descripción.(wireshark.org)

Para detener la captura, haz clic en el botón de parada (ícono de un cuadrado rojo) en la barra de herramientas.

Análisis de paquetes

Wireshark divide su interfaz principal en tres secciones:

1. Lista de paquetes: muestra todos los paquetes capturados.
2. Detalles del paquete seleccionado: desglosa las capas del protocolo del paquete seleccionado.
3. Datos en bruto: muestra el contenido hexadecimal y ASCII del paquete.(youtube.com)

Al seleccionar un paquete, puedes examinar sus detalles, como encabezados de protocolo, direcciones IP, puertos, flags de TCP, entre otros.

Uso de filtros

Filtros de visualización

Los filtros de visualización te permiten enfocarte en paquetes específicos dentro de una captura. Por ejemplo:

• http: muestra solo paquetes HTTP.
• ip.addr == 192.168.1.1: muestra paquetes con dirección IP de origen o destino 192.168.1.1.
• tcp.port == 80: muestra paquetes TCP con puerto 80.

Ingresa el filtro en la barra superior y presiona Enter para aplicarlo.

Filtros de captura

Antes de iniciar una captura, puedes establecer filtros para limitar los paquetes que Wireshark almacenará. Estos filtros utilizan una sintaxis diferente. Por ejemplo:

• port 80: captura solo tráfico en el puerto 80.
• host 192.168.1.1: captura tráfico hacia o desde 192.168.1.1.

Para establecer un filtro de captura, ve a "Captura" > "Opciones" y escribe el filtro en el campo correspondiente antes de iniciar la captura.

Modos de captura avanzados

Modo promiscuo

En este modo, la tarjeta de red captura todos los paquetes que pasan por la red, no solo aquellos destinados a tu máquina. Es útil para monitorear redes compartidas. Para activarlo, ve a "Captura" > "Opciones" y marca la casilla "Modo promiscuo".

Modo monitor (solo para Wi-Fi)

Este modo permite capturar todos los paquetes en el aire, incluso aquellos no dirigidos a tu dispositivo. Es útil para analizar redes inalámbricas. La disponibilidad depende del hardware y sistema operativo.(es.wikipedia.org, forums.ivanti.com)

Análisis práctico: Capturando una sesión HTTP

Para ilustrar el uso de Wireshark, realizaremos una captura de una sesión HTTP:

1. Inicia Wireshark y comienza la captura en la interfaz de red activa.
2. En tu navegador, visita un sitio web que utilice HTTP (no HTTPS), como http://example.com.
3. Detén la captura en Wireshark.
4. En la barra de filtros, escribe http y presiona Enter.
5. Explora los paquetes capturados para ver las solicitudes y respuestas HTTP, incluyendo encabezados y contenido.

Este ejercicio demuestra cómo Wireshark puede interceptar y mostrar datos transmitidos en texto claro. En redes reales, la mayoría del tráfico está cifrado (HTTPS), lo que limita la visibilidad del contenido.

Consejos de seguridad y ética

• Permisos: Asegúrate de tener autorización para capturar tráfico en la red que estás analizando.
• Privacidad: Evita inspeccionar datos personales o sensibles sin consentimiento.
• Legalidad: El uso indebido de herramientas de captura puede ser ilegal en muchas jurisdicciones.

Wireshark es una herramienta para el aprendizaje y la mejora de la seguridad, no para actividades maliciosas.

Recursos adicionales

• Documentación oficial de Wireshark: https://www.wireshark.org/docs/

Pese a que el artículo es algo más antiguo, te recomendamos que leas:

Como ''escuchar'' el tráfico de la Red Wireless con Wireshark