Lectura de protocolos

El tráfico de red está organizado en capas. Cada paquete encapsula un protocolo de capa superior dentro de uno inferior, como sobres dentro de otros sobres.

Leer el tráfico implica retirar estas capas en el orden correcto.

Una conexión TCP comienza con un handshake de tres pasos: SYN, SYN-ACK, ACK. Verlo confirma que se estableció una conexión real.

Un SYN sin respuesta SYN-ACK suele indicar un puerto cerrado o un paquete descartado por un firewall.

Las banderas de TCP revelan el estado de la conexión. Aprenda las más comunes para seguir una conversación.

• SYN: inicio.
• ACK: confirmación.
• FIN: cierre ordenado.
• RST: restablecimiento abrupto.

Wireshark puede seguir un flujo TCP para volver a ensamblar una conversación en texto legible en lugar de mostrar paquetes dispersos.

Haga clic derecho en un paquete y seleccione Follow para ver juntas la solicitud y la respuesta completas.

El tráfico HTTP es texto sin formato cuando no está cifrado. Puede leer directamente el método, la ruta, las cabeceras y el cuerpo.

Esto convierte a HTTP sin cifrar en una fuente muy valiosa para el análisis y en un riesgo para el propietario de la red.

HTTPS encapsula HTTP en TLS, por lo que la carga útil está cifrada. Aun así, puede ver el handshake de TLS, el nombre de host SNI y el certificado.

Sin las claves no puede leer el cuerpo, pero los metadatos aún cuentan una historia.

Las consultas DNS revelan a qué dominios intenta acceder un host, a menudo antes de que se establezca cualquier conexión.

Una consulta y su respuesta muestran el nombre solicitado y la dirección resuelta.

DNS es una mina de oro para los analistas. Las búsquedas de dominios conocidos como maliciosos, los subdominios largos y aleatorios o un volumen de consultas inusualmente alto apuntan a un comportamiento sospechoso.

Utilizaremos este recurso ampliamente al buscar anomalías.

No todo es TCP. UDP no tiene conexión (se utiliza en DNS, DHCP y QUIC), mientras que ICMP transporta mensajes de control, como los errores de ping y de destino inalcanzable.

Un volumen inusual de ICMP puede indicar exploración o tunelización.

El menú Statistics de Wireshark resume una captura: la jerarquía de protocolos, las conversaciones y los endpoints.

Comience el análisis aquí para ver qué protocolos predominan y con qué hosts se comunica más.

Los buenos analistas construyen una imagen de lo normal en una red. Cuando conoce lo normal, las anomalías destacan.

Leer protocolos con soltura es la base de todo lo que sigue.

Compruebe su comprensión de la lectura de protocolos.

Ha aprendido a leer protocolos de red.

• El tráfico está organizado por capas: Ethernet, IP, TCP/UDP y aplicación.
• TCP comienza con SYN, SYN-ACK y ACK; las banderas revelan el estado.
• Follow TCP Stream vuelve a ensamblar las conversaciones.
• HTTP es legible; HTTPS solo expone los metadatos de TLS y SNI.
• DNS revela los destinos; utilice Statistics para identificar lo normal.

A continuación, detectará anomalías y tráfico malicioso.