הדרכה ראשונה לכידה

1. 1התקן את Wireshark וקבל את Npcap Windows כאשר תתבקש לתמוך בצילום חי.
2. 2הפעל את Wireshark. בחר את הממשק הפעיל (לעיתים קרובות Wi-Fi או Ethernet) המציג קווי תנועה.
3. 3לחץ על סנפיר הכריש הכחול כדי להתחיל ללכוד. צור תעבורת בדיקה על ידי פתיחת דף דפדפן.
4. 4לחץ על הריבוע האדום כדי לעצור. החל מסנן תצוגה כגון http לבודד תעבורת אינטרנט.
5. 5שמור את הקובץ כ-.pcapng לניתוח מאוחר יותר או לשיתוף עם הצוות שלך.

אין ממשקים ברשימה

אם רשימת הממשקים ריקה, שירות הלכידה אינו מותקן או חסר הרשאה.

Windows

• התקן מחדש את Npcap מאפשרות ההתקנה של Wireshark.
• הפעל את Wireshark כמנהל פעם אחת כדי לבדוק.
• השבת מתנגשות VPN לכידת מנהלי התקנים באופן זמני.

Linux

• התקן wireshark ו wireshark -חבילות נפוצות.
• הוסף משתמש ל wireshark קבוצה: sudo usermod -aG wireshark $ USER לאחר מכן התנתק והיכנס חזרה.

הרשאות לכידה

מצב מופקר לוכד את כל הפריימים הנראים בקטע, לא רק אלה המופנים אליך NIC. מתגים מסוימים מגבילים מצב מופקר ביציאות.

במחשבים ניידים ארגוניים, מדיניות קבוצתית עשויה לחסום את התקנת מנהל ההתקן. בקשה IT אישור ל-Npcap או השתמש בלכידה ניידת ביציאת מראה מאושרת.

מסננים לתצוגה

מסנני תצוגה משפיעים רק על התצוגה, לא על מה שנלכד. הזן ביטויים בתיבת הסינון של סרגל הכלים.

ip.addr == 192.168.1.1 tcp.port == 443 http.request.method == " GET " dns.qry.name מכיל "example"

רקע ירוק פירושו תחביר חוקי. אדום פירושו לתקן את הביטוי לפני היישום.

ביצועי לכידה גדולים

• השתמש במסנני לכידה כדי להגביל את התנועה במהלך האיסוף (לדוגמה: מארח 10.0.0.5).
• אפשר מאגר צלצולים עם מספר קבצים ללכידות ארוכות טווח.
• סגור יישומים לא קשורים בעת פתיחת עקבות של ריבוי ג'יגה-בייט.
• פיצול קבצים גדולים עם editcap או כלי פיצול תפריט קובץ.

פרופילים ושיטות עבודה מומלצות

• פרופילים: צור פרופילים נפרדים עבור VoIP, HTTP, ועבודת אבטחה עם עמודות וכללי צביעה מותאמים אישית.
• תיעוד: שימו לב לזמן הלכידה, לממשק ולמסנן המשמשים בעת שיתוף עקבות.
• פרטיות: צור מטענים רגישים לפני ייצוא לכידות מחוץ לארגון שלך.
• הרשאה: לכוד רק רשתות בבעלותך או שיש לך הרשאה בכתב לנטר.