Perícia de Rede com Wireshark

A perícia de rede analisa dados de pacotes capturados (arquivos PCAP) para reconstruir a atividade do invasor no nível da rede: movimento lateral, comunicação de C2, roubo de credenciais, exfiltração de dados e anomalias de protocolo invisíveis à perícia baseada no sistema hospedeiro.

Colete evidências de rede com o Wireshark (interativo), o tcpdump (CLI) ou dispositivos de captura de rede dedicados. Implante portas de espelhamento ou dispositivos de captura de rede em segmentos críticos antes que ocorram incidentes. A análise retrospectiva requer uma infraestrutura de captura previamente instalada.

Os filtros de exibição restringem a análise: http mostra HTTP, tcp.port==443 filtra HTTPS, ip.addr==10.0.0.5 filtra um hospedeiro específico, dns filtra consultas de nomes e tcp.flags.syn==1 && tcp.flags.ack==0 filtra pacotes somente SYN (detecção de varredura de portas).

Clique com o botão direito do mouse em um pacote → Seguir → Fluxo TCP para reconstruir toda a conversa em um formato legível. Para HTTP, isso mostra os corpos completos das solicitações e respostas, sendo útil para reconstruir dados exfiltrados ou comandos de C2.

A sinalização periódica de C2 aparece como conexões regulares e repetidas com o mesmo endereço IP externo. Aplique ip.dst == [suspicious_ip] e verifique o intervalo entre os quadros; intervalos consistentes (a cada 60, 300 ou 600 segundos) com pequenos volumes de dados são característicos desse comportamento.

As consultas DNS revelam domínios de C2, padrões de algoritmo de geração de domínios (DGA) e tunelamento DNS. Nomes de domínio com alta entropia (por exemplo, a1b2c3d4e5f6.evil.com), consultas incomuns a registros TXT e respostas DNS excepcionalmente grandes indicam C2 baseado em DNS ou exfiltração de dados.

Protocolos sem criptografia (HTTP, FTP, SMTP, LDAP, Telnet) transmitem credenciais em texto simples, visíveis nas capturas de pacotes. Filtre com http contains "password" ou ftp contains "PASS" para identificar exposição de credenciais durante o intervalo do incidente.

O tráfego TLS criptografado não pode ser descriptografado sem chaves privadas ou segredos pré-mestre. No entanto: as impressões digitais JA3 identificam bibliotecas cliente TLS (o software malicioso possui resumos JA3 característicos), os nomes alternativos do assunto do certificado revelam a infraestrutura de C2 e o momento do tráfego continua visível.

Indicadores de exfiltração: grandes transferências de dados de saída para destinos incomuns, solicitações HTTP POST com corpos codificados em base64, respostas DNS excepcionalmente grandes (tunelamento DNS), pacotes ICMP com cargas grandes e tráfego de saída fora do horário comercial.

NetworkMiner reconstrói passivamente arquivos transferidos a partir de PCAPs; imagens, documentos e executáveis transferidos por HTTP ou SMB aparecem como arquivos que podem ser extraídos. Ele também extrai automaticamente credenciais, certificados e mensagens do tráfego capturado.

Extraia as marcas de data e hora dos principais eventos de rede: primeira conexão com C2, transmissão de credenciais, movimento lateral (tentativas de autenticação em hospedeiros internos) e preparação ou exfiltração de dados. Essas marcas de data e hora da rede são correlacionadas com artefatos do sistema hospedeiro para criar a linha do tempo completa do incidente.

Qual filtro de exibição do Wireshark mostraria somente o tráfego HTTP?

A perícia de rede com o Wireshark reconstrói a atividade de rede do invasor a partir de evidências PCAP. A detecção de sinais periódicos de C2, a análise de DNS para identificar tunelamento, o roubo de credenciais em protocolos sem criptografia, a identificação por impressões digitais JA3 do TLS e o reconhecimento de padrões de exfiltração de dados revelam, em conjunto, evidências do ataque no nível da rede.