Leg de geheimen van je netwerk bloot

Wireshark is een erg handige tool waarmee je het verkeer op je netwerk kan analyseren. Je kan de software gratis downloaden van de officiële website of onderaan dit artikel.

Wanneer je Wireshark start, moet je een netwerkinterface kiezen. Wil je bijvoorbeeld het verkeer over wifi nader bestuderen, dan klik je daar op. Hierna zie je netwerkpakketjes in real-time verschijnen. Klik bovenaan op het stopicoon om de detectie af te ronden.

Je hebt waarschijnlijk al gezien dat de pakketjes van verschillende kleuren worden voorzien. Standaard geeft Wireshark TCP-verkeer een lichtpaarse kleur, UDP-verkeer een lichtblauwe kleur en foutmeldingen een zwarte kleur. Je kan deze kleurencodes desgewenst aanpassen door naar ‘View’ te gaan en op ‘Coloring Rules’ te klikken.

Meestal gebruik je Wireshark om een specifiek onderdeel van je netwerkverkeer te bekijken. Hiervoor komt de filter bovenaan de applicatie goed van pas. Ben je slechts in DNS-verkeer geïnteresseerd, dan typ je bovenaan ‘dns’ en druk je vervolgens op Enter. Klik op het kruisje achter je filter om weer alle pakketjes te bewonderen. Een andere manier om netwerkverkeer uit te filteren, is door met je rechtermuisknop op een interessant pakketje te klikken. Kies vervolgens voor ‘Follow’ en kies de juiste stream. Heb je bijvoorbeeld een UTP-pakket geselecteerd, dan kan je voor ‘UTP stream’ kiezen. Wireshark maakt automatisch de juiste filter aan, waarna je enkel de pakketjes ziet die bij deze data-uitwisseling horen.

Netwerkproblemen

Erge netwerkproblemen kunnen ontstaan omwille van een ‘broadcast storm’. Een toestel dat niet goed werkt of verkeerd geconfigureerd is, overspoelt het netwerk met verkeer. Broadcast storms gaan initieel ongemerkt voorbij, maar zorgen mettertijd voor grotere problemen. Een ander probleem dat voor grote vertragingen zorgt, is malware. Een geïnfecteerde machine die andere toestellen probeert te besmetten, genereert immers eveneens veel verkeer.

Indien je de bron van je netwerkproblemen niet onmiddellijk vindt, komt Wireshark goed van pas. Leg enkele seconden het netwerkverkeer vast en gebruik daarna de statistiektools van Wireshark om meer info te bekomen. Klik op ‘Statistics’ en vervolgens op ‘Conversations’. Door na te kijken hoeveel data er per uitwisseling wordt verbruikt, kan je de boosdoener in je netwerk op het spoor komen. Ga naar het IPv4- of IPv6-tabblad en sorteer op de kolom ‘Bytes’. Zie je enorme hoeveelheden data van eenzelfde bron komen, dan heb je waarschijnlijk met een slecht geconfigureerd toestel of malware te maken. Aan de hand van het IP-adres in de eerste kolom achterhaal je om welk toestel het juist gaat. Wireshark lost je netwerkproblemen niet op, maar stelt je wel in staat om de oorzaak van een probleem te achterhalen. Daarna is het aan jou om met het toestel dat problemen veroorzaakt aan de slag te gaan.

Wachtwoorden

Wireshark is een belangrijke applicatie voor netwerkadministrators, maar kan jammer genoeg eveneens door cybercriminelen ingezet worden. Eén van de toepassingen van Wireshark is om logingegevens te achterhalen. Wanneer je een publieke hotspot gebruikt om je in te loggen op een ongeëncrypteerde website, kan iemand anders op datzelfde netwerk je logingegevens probleemloos onderscheppen met Wireshark.

Je kan deze methode zelf uitproberen door Wireshark in te schakelen en je aan te melden op een http-website. Gelukkig gebruiken de meeste websites tegenwoordig https, maar je kan nog steeds loginpagina’s terugvinden die het veiligere protocol niet gebruiken. Zorg ervoor dat Wireshark je netwerkverkeer detecteert en log je vervolgens in op de onveilige website. Om de methode uit te proberen, hoef je zelfs geen juiste login te gebruiken. Stop de detectie vervolgens in Wireshark. De pakketjes die we nodig hebben om de logingegevens te bekijken, zouden nu in de applicatie moeten staan.

Wanneer je probeert in te loggen op een website wordt het POST-protocol gebruikt. Typ daarom in het filterveld ‘http.request.method == POST’ en druk op Enter. Klik vervolgens met je rechtermuisknop op het pakketje, ga naar ‘Follow’ en kies voor ‘TCP Stream’. Het venster dat zich opent, bevat alle informatie om de logingegevens van iemand te stelen. Zoek in het rode gedeelte van de info naar de gebruikersnaam en het wachtwoord dat je zojuist hebt opgegeven. Aangezien de website geen https gebruikt, staan deze gegevens simpelweg in leesbare tekst.