Hızlı cevap: Wireshark, ağ trafiğini paket düzeyinde yakalayıp inceleyen açık kaynaklı bir analiz aracıdır. Hem sorun giderme hem güvenlik analizinde kullanılır: şifrelenmemiş kimlik bilgisi sızıntısını, şüpheli bağlantıları, zararlı trafiği ve protokol anormalliklerini görmeye yarar. Sızma testinde ağ keşfi ve kanıt toplama; olay müdahalesinde ise saldırı trafiğini anlama aracıdır. Temel kavramlar: paket yakalama, görüntü filtreleri ve akış (stream) takibi.

Wireshark ne işe yarar?

Ağda olup biten her şey paketler halinde akar. Wireshark bu paketleri yakalar ve her birini protokol düzeyinde çözümler: kaynak, hedef, protokol, içerik. Böylece ağda gerçekte ne olduğunu görürsünüz. Bir uygulamanın neden yavaş olduğunu, bir bağlantının nereye gittiğini ya da bir kimlik bilgisinin şifrelenmeden geçip geçmediğini paket düzeyinde ortaya çıkarır.

Güvenlik açısından Wireshark iki yönlüdür: sızma testinde ağ trafiğinden bilgi toplamak ve kanıt yakalamak için; savunma ve olay müdahalesinde ise bir saldırının ağ izlerini anlamak için kullanılır.

Temel kavramlar

Kavram Açıklama
Paket yakalama Ağ arayüzünden trafiği kaydetme
Görüntü filtresi İlgili paketleri süzme (ör. protokol, IP, port)
Akış takibi Bir bağlantının tüm veri akışını birleştirme
Protokol çözümleme Her katmanın (TCP, HTTP, DNS) ayrıntısı
İstatistikler Konuşmalar, uç noktalar, protokol dağılımı

Güvenlik analizinde ne aranır?

  • Şifrelenmeden geçen kimlik bilgileri ve hassas veri (HTTP, FTP, Telnet).
  • Olağandışı hedeflere giden bağlantılar (komuta kontrol trafiği şüphesi).
  • Protokol anormallikleri ve beklenmeyen port kullanımı.
  • DNS tünelleme ve veri sızdırma desenleri.
  • Tekrarlayan ya da otomatik görünen trafik.

Önemli bir sınır: modern trafiğin çoğu şifrelidir (TLS), bu yüzden Wireshark içeriği değil üstbilgileri ve meta veriyi gösterir. Yine de bağlantı desenleri, hedefler ve zamanlama güvenlik analizinde değerli ipuçlarıdır.

KAOS ve DSET yaklaşımı

DSET, sızma testi ve olay müdahalesinde ağ trafiğini analiz eder ve şifrelenmemiş kimlik bilgisi sızıntısı, şüpheli bağlantılar ve protokol anormallikleri gibi bulguları kanıta bağlar. Geliştirdiğimiz KAOS içinde canlı trafik yakalama yeteneği bulunur ve ağ düzeyindeki delilleri toplamaya yarar. Amacımız ağda gerçekte ne olduğunu paket düzeyinde, kanıta dayalı göstermektir. Yakaladığımız trafiği delil zincirini koruyacak biçimde ele alırız.

Bağlantılı okumalar: TLS SSL yapılandırma sertleştirme, DNS güvenliği tünelleme hijacking, SIEM ve SOC, siber olay müdahale playbook NIST 800-61, Nmap ile ağ keşfi, AV EDR atlatma ve tespit.

Sık sorulan sorular

Wireshark şifreli trafiği okuyabilir mi? Hayır, şifreli (TLS) trafiğin içeriğini doğrudan okuyamaz. Ama bağlantının üstbilgilerini ve meta verisini görür: kaynak, hedef, port, zamanlama, trafik hacmi. Bu meta veri bile güvenlik analizinde değerlidir, örneğin olağandışı bir hedefe giden şifreli bağlantı komuta kontrol trafiği şüphesi doğurabilir. İçeriği görmek için anahtarların mevcut olduğu özel durumlar gerekir.

Wireshark bir saldırı aracı mı? Wireshark meşru bir ağ analizi ve sorun giderme aracıdır; hem ağ yöneticileri hem güvenlik ekipleri kullanır. Sızma testinde kanıt toplama, savunmada ise saldırı izlerini anlama aracıdır. Trafiği yakalamak için ilgili ağ segmentine erişim gerekir; başkasının trafiğini yetkisiz yakalamak hukuki sorumluluk doğurur.

Ağda şifrelenmemiş kimlik bilgisi nasıl bulunur? Wireshark ile ilgili protokolleri (HTTP, FTP, Telnet gibi şifresiz protokoller) filtreleyip akışı takip ederek. Bu protokoller kimlik bilgisini düz metin taşıdığından, trafikte parolalar görünebilir. Bu, hâlâ şifresiz protokol kullanan bir ortamda ciddi bir risktir ve bulgu, bu protokollerin şifreli alternatiflerle (HTTPS, SFTP, SSH) değiştirilmesi gerektiğini gösterir.

Kaynaklar

Ağ trafiği analizi ve olay müdahalesi için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.