Wireshark

Описание курса:

Данный курс содержит материал, необходимый для того, чтобы научить специалистов, работающих с сетями TCP/IP, решать проблемы с производительностью сети при помощи п/о Wireshark. В ходе курса станет понятно, как измерять задержки при передаче IP-пакетов в сети, как измерять скорость передачи данных в пределах конкретного TCP-соединения, и многое другое. Кроме того, в курсе рассматриваются вопросы анализа сетевого трафика для обнаружения вредоносных вложений, spam’а и прочих киберугроз. П/о Wireshark широко известно среди специалистов в области сетей, но его функции и их применимость выходят далеко за рамки простого отображения dump’а траифика.

Для кого предназначен:

Курс будет интересен специалистам в области сетевых технологий, людям, занимающимся поиском и устранением проблем с корпоративными сервисами и приложениями, а также аналитикам кибербезопасности.

Программа курса:

1. Работа в Wireshark

Необходимость анализа сетевого трафика.
Установка Wireshark’а и дополнительных компонентов.
Базовая настойка.
Создание dump’ов трафика на сетевых интерфейсах.
Графический интерфейс.

2. Базовый анализ трафика.

Фильтрация.
Извлечение файлов.
Измерение задержек.
Создание диаграмм работы протоколов.
Статистика протоколов и приложений.
Восстановление голосовых данных.
Автостатистика «Expert Information».

3. Мета-анализ (MATE).

Цель применения MATE.
Компоненты MATE.
Настройка и примеры работы с MATE.

4. Анализ DNS-трафика.

Работа протокола DNS.
Разбор DNS-трафика.
Анализ аномалий DNS-трафика.
Анализ DNS-трафика на наличие киберугроз.

5. Анализ IPv4-трафика.

Работа протокола IPv4.
Разбор IPv4-трафика.
Анализ аномалий IPv4-трафика.
Анализ IPv4-трафика на наличие киберугроз.

6. Анализ ICMP-трафика.

Работа протокола ICMP.
Разбор ICMP-трафика.
Анализ аномалий ICMP-трафика.
Анализ ICMP-трафика на наличие киберугроз.

7. Анализ TCP-трафика.

Работа протокола TCP.
Алгоритм Карна.
Разбор TCP-трафика.
Анализ аномалий TCP-трафика.
Измерения производительности канала с помощью TCP-трафика.
Анализ проблем приложений с помощью TCP-трафика.
Анализ TCP-трафика на наличие киберугроз.

8. Анализ UDP-трафика.

Работа протокола UDP.
Разбор UDP-трафика.
Анализ аномалий UDP-трафика.
Анализ UDP-трафика на наличие киберугроз.

9. Анализ HTTP-трафика.

Работа протокола HTTP.
Разбор HTTP-трафика.
Анализ аномалий HTP-трафика.
Реконструкция данных HTTP.
Дешифрование данных HTTPS.
Анализ ICMP-трафика на наличие киберугроз.

10. Анализ FTP-трафика.

Работа протокола FTP.
Разбор FTP-трафика.
Анализ аномалий FTP-трафика.
Реконструкция данных FTP.
Анализ FTP-трафика на наличие киберугроз.

11. Анализ трафика электронной почты.

Работа протоколов SMTP, IMAP, POP3.
Разбор трафика электронной почты.
Анализ аномалий в трафике электронной почты и обнаружение spam’а.
Реконструкция данных электронной почты.
Анализ кибератак через электронную почту.

12. Анализ трафика канального уровня.

Протоколы DHCP и ARP.
Анализ трафика DHCP и ARP.
Анализ аномалий.
Анализ кибератак на канальном уровне.

13. Анализ трафика Wi-Fi сетей.

Особенности работы Wi-Fi сетей на канальном уровне.
Анализ ёмкости и утилизации [радио]канала.
Анализ аномалий трафика Wi-Fi сети.
Анализ кибератак в Wi-Fi сети.

Цель курса:

Цель данного пятидневного курса заключается в обеспечении инженеров технической поддержки различных уровней знаниями и навыками необходимыми для выполнения ежедневных задач по поиску и устранению неисправностей в сетях пакетной передачи данных инструментами анализатора Wireshark. Курс состоит из 9 теоретических глав, сопровождаемых практическими заданиями для закрепления материала.

Программа курса:

1. Обзор Wireshark

Краткий обзор функций
Версии и их отличие

2. Пользовательский интерфейс и навигация

Конфигурация внешнего вида
Фильтры отображения
Фильтры захвата
Управление файлами

3. Дополнительные параметры конфигурации

Согласование имён
Правила раскраски
Пересборка протоколов
Некоторые особенности работы Wireshark

4. Инструменты командной строки

tshark
dumpcap
editcap
и др.

5. Таблицы и графики

Конечные станции, сессии, протоколы
Графики ввода/вывода
Графики потоков и экспертная информация

6. Метрики производительности

Проблемы прикладного уровня
Пропускная способность
Время отклика
Издержки

7. Подход к диагностике

Методология диагностики
Основы захвата
Технологии захвата
Стратегия захвата
Советы по захвату трафика

8. Анализ распространенных протоколов:

Ethernet
ARP
IP
ICMP
TCP
UDP
SCTP
RTP
TLS 1.1/1.2/1.3

9. LUA-скрипты и диссекторы

Варианты применения LUA-скриптов
Пример создание диссектора собственного протокола при помощи LUA