Introduzione

Wireshark è un analizzatore in tempo reale di protocolli di rete per l'amministrazione, lo sviluppo di software e la sicurezza informatica, tutti i pacchetti del traffico di una o più interfacce di rete. Questa guida mostrerà come installarlo e configurando correttamente i permessi necessari su Ubuntu.

Protocolli di rete supportati

Wireshark supporta un'enorme quantità di protocolli, praticamente quasi tutti quelli utilizzati nel networking moderno.<BR>>Ecco una lista di protocolli che possono essere decodificati e analizzati:

La lista completa dei protocolli supportati dall'applicazione si può visualizzare e modificare. Consultare il paragrafo di configurazione.

• Protocolli di livello Applicazione (Layer 7):

  • Web: HTTP, HTTPS (SSL/TLS), HTTP/2, HTTP/3, WebSocket

  • Email: SMTP, POP3, IMAP
  • Trasferimento File: FTP, SFTP, TFTP
  • Database: MySQL, PostgreSQL, MongoDB, Oracle
  • VoIP: SIP, RTP, RTCP, H.323
  • DNS: DNS, DNSSEC
  • Autenticazione: LDAP, Kerberos, NTLM
  • Streaming: RTSP, MMS
  • Remote Access: SSH, Telnet, RDP, VNC
  • Condivisione File: SMB/CIFS (Windows File Sharing), NFS
  • Messaggistica: XMPP (Jabber), IRC
  • Network Management: SNMP
  • Blockchain: Molti protocolli blockchain custom, in base alla disponibilità di plugin.
  • Vari: Modbus, BACnet (building automation), DLMS/COSEM (smart metering), MQTT (IoT)
• Protocolli di livello Trasporto (Layer 4):
  • TCP (Transmission Control Protocol): Il protocollo principale per connessioni affidabili.
  • UDP (User Datagram Protocol): Usato per comunicazioni veloci e senza connessione.
  • SCTP (Stream Control Transmission Protocol): Meno comune, ma usato in telecomunicazioni.
  • QUIC: Protocollo di trasporto moderno di Google, utilizzato da HTTP/3 e altro.
• Protocolli di livello Rete (Layer 3):
  • IP (Internet Protocol): Il protocollo fondamentale di internet.
  • IPv4 (Internet Protocol Version 4): La versione più comune.
  • IPv6 (Internet Protocol Version 6): La versione successiva.
  • ICMP (Internet Control Message Protocol): Usato per messaggi di errore e controllo (es. ping).
  • IGMP (Internet Group Management Protocol): Usato per multicast.
  • ARP (Address Resolution Protocol): Usato per trovare l'indirizzo MAC corrispondente a un indirizzo IP nella LAN.
  • RARP (Reverse Address Resolution Protocol): L'opposto di ARP, obsoleto.
  • OSPF (Open Shortest Path First): Protocollo di routing interno.
  • BGP (Border Gateway Protocol): Protocollo di routing tra sistemi autonomi (internet).
  • RIP (Routing Information Protocol): Vecchio protocollo di routing.
• Protocolli di livello Data Link (Layer 2):
  • Ethernet: Il protocollo di rete locale più comune.
  • Wi-Fi (802.11): Wireless networking.
  • Token Ring: Obsoleto.
  • Frame Relay: Obsoleto.
  • ATM (Asynchronous Transfer Mode): Obsoleto in LAN, ma ancora usato in alcune WAN.
  • PPP (Point-to-Point Protocol): Usato per connessioni dial-up e DSL.
  • HDLC (High-Level Data Link Control): Protocollo generico per connessioni seriali.
  • VLAN (Virtual LAN): Protocollo per segmentare reti Ethernet.
  • LLDP (Link Layer Discovery Protocol): Usato per scoprire i dispositivi vicini.
  • CDP (Cisco Discovery Protocol): Protocollo proprietario Cisco per scoprire i dispositivi vicini.
• Protocolli di livello Fisico (Layer 1): Wireshark non cattura dati a questo livello, ma può analizzare i dati catturati da altri strumenti che operano a livello fisico (es. analizzatori di spettro per Wi-Fi).

Altri Protocolli

• VPN: PPTP, L2TP, IPSec, OpenVPN, WireGuard

• Bluetooth: Molti protocolli Bluetooth.
• USB: Vari protocolli USB.
• CAN bus: Usato in automobili e altri sistemi embedded.

Filtri

Analizzare tutto il traffico di rete senza filtri sarebbe come cercare un ago in un pagliaio. I filtri ti permettono di concentrarti sui pacchetti che ti interessano, rendendo l'analisi molto più efficiente.

Questa guida introdurrà ai diversi tipi di filtri, alla loro sintassi e a esempi pratici.

Tipi di filtri

Wireshark offre due tipi principali di filtri:

• Filtri di Cattura (Capture Filters): Applicati prima che i pacchetti vengano catturati. Questi filtri riducono la quantità di dati catturati, risparmiando spazio su disco e riducendo il carico sulla CPU. Sono più performanti ma meno flessibili dei filtri di visualizzazione.

• Filtri di Visualizzazione (Display Filters): Applicati dopo che i pacchetti sono stati catturati. Permettono di nascondere i pacchetti che non ti interessano nella vista principale. Sono più flessibili ma meno performanti dei filtri di cattura.

Sintassi dei filtri

La sintassi dei filtri è simile per entrambi i tipi, ma con alcune differenze.

• Protocolli: Usa il nome del protocollo (es. http, tcp, dns, ip).

• Campi: Usa i nomi dei campi all'interno dei protocolli (es. ip.src, tcp.port, http.request.method). Puoi trovare i nomi dei campi esplorando i dettagli di un pacchetto.

• Operatori di Confronto:

== (uguale a) != (diverso da) > (maggiore di) < (minore di) >= (maggiore o uguale a) <= (minore o uguale a) contains (contiene) matches o ~= (corrisponde a un'espressione regolare)

• Operatori Logici:

and o && (e) or o || (o) not o ! (non)

I filtri sono uno strumento essenziale per sfruttare appieno la potenza di Wireshark. Imparare a usarli in modo efficace permetterà di analizzare il traffico di rete in modo più rapido e preciso.

Installazione

Ci sono principalmente due metodi per installare Wireshark su Ubuntu, tramite apt (Advanced Package Tool) e tramite Snap.

apt

Installare il pacchetto wireshark

Al termine dell'installazione sarà possible avviare Wireshark.

Snap

1. Digitare nel terminale il comando:

   sudo snap install wireshark

2. Riavviare la sessione.

Al termine dell'installazione sarà possible avviare Wireshark.

Avvio

Per avviare Wireshark, digitare nel terminale il seguente comando:

wireshark

Si dovrebbe essere in grado di vedere le interfacce di rete e iniziare a catturare pacchetti senza utilizzare privilegi di amministrazione.

Configurazione

Configura i permessi per la cattura dei pacchetti

Se durante l'installazione tramite apt è stato risposto No alla richiesta di permettere agli utenti non-root di catturare pacchetti, è possibile modificare la scelta.

1. Eseguire nella riga di comando il seguente comando:

   sudo dpkg-reconfigure wireshark-common

2. Selezionare Sì quando richiesto.

Aggiungere l'utente al gruppo wireshark

Per permettere all'utente di catturare pacchetti senza dover utilizzare sudo, è necessario aggiungerlo al gruppo wireshark.

1. Digitare nel terminale il seguente comando:

   sudo usermod -aG wireshark [nome_utente]

   sostituendo [nome_utente] con il nome utente desiderato.

2. Riavviare la sessione utente per applicare le modifiche al gruppo, oppure riavviare il sistema.

Connessione delle interfacce (solo snap)

• Installando Wireshark tramite apt e configurando correttamente i permessi e aggiunto l'utente al gruppo wireshark, l'accesso alle interfacce di rete è gestito a livello di sistema operativo e non richiede ulteriori configurazioni specifiche. Passare al paragrafo successivo.

• Installando in snap, le applicazioni installate sono eseguite in un ambiente isolato (sandbox), è un sistema di pacchetti in container. Di default, le applicazioni snap, in questo caso Wireshark, non ha accesso diretto alle interfacce di rete del sistema.

Se Wireshark è stato installato tramite snap è necessario connettere manualmente le interfacce per permettere di accedere alla rete.
Digitare nel terminale i seguenti comandi:

sudo snap connect wireshark:network-control
sudo snap connect wireshark:network-observe
sudo snap connect wireshark:raw-serial

questi comandi vengono utilizzati per concedere esplicitamente le autorizzazioni, collegando le interfacce necessarie al container di Snap.

Alternativa ad APT per la configurazione dei permessi

Non esistono metodi alternativi tramite APT per replicare la funzionalità di "connessione delle interfacce" che si trova in Snap, semplicemente perché non sono necessari.

Cattura monitoraggio pacchetti

Una volta configurato il programma, avviare il monitoraggio dei pacchetti, è sufficiente cliccare su Cattura → Avvia.

Apparirà una finestra, dalla quale sarà possibile scegliere le singole interfacce per le quali avviare il monitoraggio.

Abilitare protocolli

La lista completa dei protocolli supportati dall'applicazione si può visualizzare e modificare dal menù Analizza → Abilita protocolli...

Impostare i Filtri di Cattura

Per impostare filtri di cattura:

1. Avviare Wireshark.

2. Cliccare sull'icona "Opzioni" (ingranaggio) o vai nel menu "Cattura" -> "Opzioni".

3. Nella finestra "Opzioni di cattura", selezionare l'interfaccia di rete da monitorare.
4. Inserisci il filtro di cattura nel campo "Filtro di cattura per le interfacce selezionate:".
5. Cliccare su "Avvia" per avviare la cattura.

Esempi

Impostare i Filtri di Visualizzazione (Display Filters)

Per impostare filtri di visualizzazione:

1. Avviare Wireshark.

2. Cliccare sull'icona "Opzioni" (ingranaggio) o vai nel menu "Cattura" -> "Opzioni".

3. Nella finestra "Opzioni di cattura", aprire un file di cattura esistente.
4. Inserisci il filtro di visualizzazione nella barra dei filtri sopra la lista dei pacchetti.

5. Premere Invio per applicare il filtro.

Wireshark mostrerà solo i pacchetti che corrispondono al filtro.

Esempi

Altri esempi

Per Combinare Filtri:

Per Espressioni Regolari:

Risoluzione dei problemi

Permessi insufficienti

Se si riceve errori relativi ai permessi durante la cattura dei pacchetti, assicurarsi di aver seguito correttamente i passaggi per configurare i permessi e di aver riavviato la sessione utente. Verificare che l'utente sia effettivamente nel gruppo wireshark, digitare nel terminale il comando:

groups

Interfacce di rete non visualizzate

Se Wireshark non mostra le interfacce di rete, assicurarsi di aver installato Wireshark:

• tramite APT e configurato correttamente i permessi.

• Se utilizzato Snap, provare a connettere le interfacce di rete manualmente.

Cattura in modalità monitor

Per catturare il traffico in modalità monitor (necessaria per analizzare il traffico wireless), potrebbe aver necessario bisogno di configurare ulteriormente la scheda di rete wireless.

Filtro non valido

Controllare attentamente la sintassi del filtro. Wireshark ti aiuterà evidenziando gli errori.

Nessun pacchetto visualizzato

Assicurarsi che il filtro sia corretto e che ci siano pacchetti che corrispondono al filtro nel file di cattura.

Prestazioni rallentate

Filtri molto complessi possono rallentare Wireshark, soprattutto con file di cattura di grandi dimensioni. Cercare di semplificare i filtri quando possibile. Valutare l'utilizzo di filtri di cattura per ridurre la quantità di dati da analizzare.

Ulteriori risorse

• Sito ufficiale di Wireshark.

• Guida ufficiale di Wireshark.

• Informazioni sui protocolli Internet

• Modello ISO/OSI

• Modello TCP/IP

CategoryHomepage CategoryNuoviDocumenti