TCPDUMP & WIRESHARK

Cualquiera que se dedique a esto de la seguridad sabe el uso intensivo que se hace de estas dos herramientas: TcpDump y WireShark.

Para el que no lo sepa, estas dos herramientas son sniffers de red, en modo texto el primero y con interface gráfico el segundo (aunque también tiene una versión en modo texto llamada TShark, muy buena). ¿Para que necesitamos en seguridad hacer sniffing de red?, pues basicamente para análizar tráfico, o bien cuando hacemos una auditoría de seguridad de un producto que transfiere datos a través de la red y queremos valorar la seguridad de estas comunicaciones, o bien en el día a día de la detección de intrusiones, cuando el NIDS detecta un posible ataque siempre es muy útil disponer de una captura completa del paquete de red y si es posible de la conexión entera, con el fin de análizarlo y descubrir si se ha tratado de un falso positivo o de un ataque real.

El caso es que ambas herramientas tienen su propio lenguaje para limitar que tipo de tráfico queremos analizar, algo muy útil si queremos centrarnos en un tráfico concreto, pero que muchas veces nos pueden surgir dudas (sobretodo con Wireshark) de como sería la opción para capturar una serie concreta de paquetes. Por ello, os remitimos una Cheats Sheet publicada en la web PacketLife en la que tenemos una referencia rápida de estas dos grandes herramientas:

Podeis pinchar en las propias imágenes para descargar el PDF, os recomiendo tenerlo a mano, yo pienso hacerlo.

También cabe destacar que la web PacketLife dispone de una sección de Cheats Sheets muy buena, puede que os interese a más de uno pasaros y descargaros alguna.

Un gran trabajo el del autor de PacketLife.