Wireshark

Данный курс содержит материал, необходимый для того, чтобы научить специалистов, работающих с сетями TCP/IP, решать проблемы с производительностью сети при помощи п/о Wireshark. В ходе курса станет понятно, как измерять задержки при передаче IP-пакетов в сети, как измерять скорость передачи данных в пределах конкретного TCP-соединения, и многое другое. Кроме того, в курсе рассматриваются вопросы анализа сетевого трафика для обнаружения вредоносных вложений, spam’а и прочих киберугроз. П/о Wireshark широко известно среди специалистов в области сетей, но его функции и их применимость выходят далеко за рамки простого отображения dump’а траифика.

Для кого предназначен:

Курс будет интересен специалистам в области сетевых технологий, людям, занимающимся поиском и устранением проблем с корпоративными сервисами и приложениями, а также аналитикам кибербезопасности.

Программа курса:

Работа в Wireshark

Необходимость анализа сетевого трафика
Установка Wireshark’а и дополнительных компонентов
Базовая настойка
Создание dump’ов трафика на сетевых интерфейсах
Графический интерфейс

Базовый анализ трафика

Фильтрация
Извлечение файлов
Измерение задержек
Создание диаграмм работы протоколов
Статистика протоколов и приложений
Восстановление голосовых данных
Автостатистика «Expert Information»

Мета-анализ (MATE)

Цель применения MATE
Компоненты MATE
Настройка и примеры работы с MATE

Анализ DNS-трафика

Работа протокола DNS
Разбор DNS-трафика
Анализ аномалий DNS-трафика
Анализ DNS-трафика на наличие киберугроз

Анализ IPv4-трафика

Работа протокола IPv4
Разбор IPv4-трафика
Анализ аномалий IPv4-трафика
Анализ IPv4-трафика на наличие киберугроз

Анализ ICMP-трафика

Работа протокола ICMP
Разбор ICMP-трафика
Анализ аномалий ICMP-трафика
Анализ ICMP-трафика на наличие киберугроз

Анализ TCP-трафика

Работа протокола TCP
Алгоритм Карна
Разбор TCP-трафика
Анализ аномалий TCP-трафика
Измерения производительности канала с помощью TCP-трафика
Анализ проблем приложений с помощью TCP-трафика
Анализ TCP-трафика на наличие киберугроз

Анализ UDP-трафика

Работа протокола UDP
Разбор UDP-трафика
Анализ аномалий UDP-трафика
Анализ UDP-трафика на наличие киберугроз

Анализ HTTP-трафика

Работа протокола HTTP
Разбор HTTP-трафика
Анализ аномалий HTP-трафика
Реконструкция данных HTTP
Дешифрование данных HTTPS
Анализ ICMP-трафика на наличие киберугроз

Анализ FTP-трафика

Работа протокола FTP
Разбор FTP-трафика
Анализ аномалий FTP-трафика
Реконструкция данных FTP
Анализ FTP-трафика на наличие киберугроз

Анализ трафика электронной почты

Работа протоколов SMTP, IMAP, POP3
Разбор трафика электронной почты
Анализ аномалий в трафике электронной почты и обнаружение spam’а
Реконструкция данных электронной почты
Анализ кибератак через электронную почту

Анализ трафика канального уровня

Протоколы DHCP и ARP
Анализ трафика DHCP и ARP
Анализ аномалий
Анализ кибератак на канальном уровне

Анализ трафика Wi-Fi сетей

Особенности работы Wi-Fi сетей на канальном уровне
Анализ ёмкости и утилизации [радио]канала
Анализ аномалий трафика Wi-Fi сети
Анализ кибератак в Wi-Fi сети

Цель курса:

Цель данного пятидневного курса заключается в обеспечении инженеров технической поддержки различных уровней знаниями и навыками необходимыми для выполнения ежедневных задач по поиску и устранению неисправностей в сетях пакетной передачи данных инструментами анализатора Wireshark. Курс состоит из 9 теоретических глав, сопровождаемых практическими заданиями для закрепления материала.

Программа курса:

Обзор Wireshark

Краткий обзор функций
Версии и их отличие

Пользовательский интерфейс и навигация

Конфигурация внешнего вида
Фильтры отображения
Фильтры захвата
Управление файлами

Дополнительные параметры конфигурации

Согласование имён
Правила раскраски
Пересборка протоколов
Некоторые особенности работы Wireshark

Инструменты командной строки

tshark
dumpcap
editcap
и др.

Таблицы и графики

Конечные станции, сессии, протоколы
Графики ввода/вывода
Графики потоков и экспертная информация

Метрики производительности

Проблемы прикладного уровня
Пропускная способность
Время отклика
Издержки

Подход к диагностике

Методология диагностики
Основы захвата
Технологии захвата
Стратегия захвата
Советы по захвату трафика

Анализ распространенных протоколов

Ethernet
ARP
IP
ICMP
TCP
UDP
SCTP
RTP
TLS 1.1/1.2/1.3

LUA-скрипты и диссекторы

Варианты применения LUA-скриптов
Пример создание диссектора собственного протокола при помощи LUA

Материал данного курса позволит слушателю изучить возможности и приемы по анализу сетевого трафика с помощью п/о Wireshark.

Аудитория курса:

Инженеры, занимающиеся сетями передачи данных.

Предварительные требования к аудитории:

Необходимы знания о работе сетей TCP/IP на уровне курса ANT-N101.

Содержание курса:

Модуль 1 – Анализ сетевого трафика и Wireshark

Стек TCP/IP. Инкапсуляция сетевого трафика
Сбор трафика в сети. Архитектура и подходы
Протоколы SPAN, RSPAN, ERSPAN
Поведение сетевых карт при сборе трафика
Wireshark как инструмент анализа сетевого трафика

Модуль 2 – Интерфейс и основные настройки

Запуск и первичная настройка
Элементы интерфейса
Отображение собранного трафика
Отображение TCP-соединений и UDP-потоков трафика
Простые фильтры
«Экспертное меню»
Настройка пре-процессоров

Модуль 3 – Дополнительные возможности Wireshark’а

Комплексные фильтры
Использование GeoIP
Автоматическое определение DNS-имен
Колоризация трафика и отдельных соединений
«Сборка» данных прикладных протоколов
Использование параметров сетевых карт

Модуль 4 – Анализ статистики сетевого трафика

Вывод статистики в Wireshark’е
Статистика пропускной способности
Статистика Round-Trip Time
Статистика протоколов
Статистика конечных устройств
Визуализация потоков данных

Модуль 5 – Анализ производительности сети

Зависимость задержки от пропускной способности канала. Формула Литтла
Классификация стеков ТСР
Алгоритмы и дополнительные функции TCP
Примеры анализа и определения задержек в сети
Примеры расчета пропускной способности сети

Модуль 6 – Поиск и устранение неисправностей в сети

Основные индикаторы неисправностей в сети
Обнаружение неисправностей в сети с помощью анализа трафика
Примеры поиска и устранения неисправностей в сети

Модуль 7 – Анализ сетевых протоколов

Анализ протоколов семейства Ethernet
Анализ беспроводных сетей Wi-Fi
Анализ ARP
Анализ ICMP
Анализ DHCP
Анализ DNS
Анализ FTP
Анализ HTTP
Дешифрование HTTPS
Анализ почтовых протоколов. SMTP, IMAP, POP3
Анализ SMB и NetBIOS
Анализ протоколов IP-телефонии. RTP, RTCP, SIP
Воспроизведение захваченных голосовых данных

Модуль 8 – Использование Wireshark’а при обработке инцидентов кибербезопасности

Отслеживание инцидентов кибербезопасности
Реагирование на инциденты кибербезопасности
Использование Wireshark’а для анализа трафика, релевантного инциденту
Примеры анализа сетевых атак с помощью Wireshark’а
Примеры анализа поведения вредоносного п/о с помощью Wireshark’а
Примеры использования Wireshark’а как инструмента Threat Intelligence