Avlyssna datatrafiken från datorn med hjälp av Wireshark

Lär dig att övervaka och analysera nätverkstrafik med Wireshark. Få insikter om dataledning, filtrering och dekryptering för att identifiera program som använder din bandbredd.

Datorn kämpar med hastigheten. Aktivitetshanteraren ger knappast klarhet; nätverkskortet går för fullt, men vilket program gör vad? Det är som att höra ett läckande rör innan du bryter väggen. För att lösa problemet behöver du fokusera på datan som rör sig i kablarna eller luften, istället för på Windows-ikoner.

Denna analys är användbar för dem som vill identifiera programvara som skickar data till tveksamma servrar, ställa in en smart enhet som strular, eller förstå nätverksprotokoll. Vill du dyka djupare? Kolla hur man kommer in i ett skyddat wifi-nätverk för att fånga paket.

Montera antennen för övervakning

För att läsa data krävs en sniffer, ett verktyg som fångar paket. Hämta den globala standarden från Wireshark. Många fastnar på Npcap när de installerar.

Utan Npcap fungerar programmet som en radio utan antenn: den finns där, men får inga signaler. Drivrutinen möjliggör för programvaran att kringgå operativsystemets skydd och läsa rådata. För Wi-Fi-analys, glöm inte att aktivera "raw 802.11"-läget, även om Windows kan krångla. På Linux eller macOS, se till att du har administratörsprivilegier (root/sudo); annars syns inte nätverksgränssnittet.

Hantera kaoset och förstå färgerna

När fångsten startar, dränks skärmen i snabba färgade rader. Det är som att försöka läsa en bok i hastigheten; datorn skickar konstant osynliga meddelanden till routern, uppdateringsservrar eller systemtelemetrier.

Titta på färgerna istället, de ger en inblick i språkbruket:

• Grön: TCP-trafik, som används av de flesta webbplatser och tjänster.
• Mörkblå: DNS-förfrågningar, avgörande för att se vilka domäner som söks.
• Ljusblå eller Lila: UDP-trafik, för streaming, onlinespel eller Googles QUIC-protokoll.
• Svart eller Röd: indikerar fel eller förlorade paket. För mycket av detta? Linjeproblem.

Filtrera trafiken för att hitta svaren

För att inte fastna i dataöverflödet, använd filter. Snarare än att överväldigas av allt, instruera programmet att visa det du vill se. Skriv ip.addr == 192.168.1.10 för att isolera en enhet. Vill du se vilka webbplatser som nås, skriv dns.

För okrypterad kommunikation kan du återuppbygga hela konversationen. Högerklicka på ett paket, välj Follow TCP Stream, så pusslar Wireshark ihop allt och visar texten i klartext, nästan som en chatt.

Om datorn har laddat ner en bild eller misstänkt fil, behöver du inte bygga om bytena. Gå till Arkiv, välj Exportera objekt och sedan HTTP för en lista på alla filer som passerat nätverket, redo att spara för antivirusanalys.

Muren av HTTPS och den nya standarden QUIC

Idag är nästan all trafik krypterad. Försöker du öppna ett paket från en modern webbplats? Du ser bara en gröt av symboler på grund av TLS-kryptering. Dessutom använder Googles och Facebooks tjänster nu QUIC-protokollet, som lämnar bakom TCP till förmån för UDP; analyserna blir ännu mer splittrade.

För att läsa deras data kan du tvinga webbläsaren att ge dig nycklarna. Skapa en systemvariabel på datorn som heter...

SSLKEYLOGFILE, ange sökvägen till en fil.

Chrome och Firefox loggar sessionernas nycklar i denna fil. Genom att integrera filen i Wiresharks inställningar kan programmet använda nycklarna för att dekryptera trafik i realtid, vilket omvandlar obskyr kod till klartext.

Analys av hastighet och bandbredd

När nätverket saktar ner blir det överväldigande att analysera enskilda paket. Under menyn Statistics hittar du en översikt. Fliken Conversations visar en sorteringsbar tabell för bytevolymen; anslutningar med hög belastning identifieras snabbt, så att du kan se vilken IP-adress som drar mest bandbredd.

I/O Graphs ger en visuell bild av trafikflödet över tid. Denna funktion avslöjar om lagg inträffar vid specifika stunder eller om det är ett kontinuerligt problem med anslutningen.

Vanliga frågor och tekniska begränsningar

• Kan jag spionera på grannarna? Nej. Ny modern Wi-Fi-trafik (WPA2/WPA3) är krypterad. Fångar du paketen, ser du bara kryptiska data, inte lösenord i klartext. Deciffring skulle kräva ett oöverskådligt antal försök.
• Varför ser jag bara min egen trafik? Moderna nätverk använder switchar som isolerar datan. För att fånga annan PC:s trafik krävs antingen en speglande port eller en gammal hub, som idag är svårfunnen.
• Är det lagligt? Ja, det är ett verktyg för nätverksadministratörer. Användning är laglig på egna nätverk. Att avlyssna någon annans trafik utan samtycke är ett brott.
• Snabb analys med TShark. Stora fångstfiler kan göra det grafiska gränssnittet tungt. I sådana fall är TShark ett bättre alternativ; terminalversionen filtrerar snabbare.

Att använda Wireshark känns som att ha superkrafter, men att förvänta sig att läsa varje e-post eller lösenord är missvisande. Kryptering dominerar oftast. Använd verktyget för att lösa specifika problem istället för att spionera. Om ett program stör dig utan att du vet var det ansluter, isolera dess IP-adress och kolla DNS. På så sätt kan du verifiera vad som lämnar din PC, oberoende av vad programvaruproducenter hävdar.

Nu när du har läst klart Avlyssna datatrafiken från datorn med hjälp av Wireshark, inbjuder vi dig att utforska kategorin Windows ytterligare. Där hittar du fler intressanta artiklar som kommer att utöka dina kunskaper och hålla dig informerad. Sluta inte läsa och upptäcka mer!