Wireshark & Paketanalyse

Entstehung und Beteiligte

Gerald Combs begann 1998 mit Ethereal, weil er für seine Arbeit ein frei verfügbares Werkzeug zur Paketanalyse benötigte. 2006 wurde das Projekt aus markenrechtlichen Gründen in Wireshark umbenannt.

Welches Problem sollte gelöst werden?

Netzwerkfehler sind in Konfigurationen oft unsichtbar. Ein Analyzer sollte reale Frames mitschneiden, Protokolle zerlegen und Felder verständlich darstellen.

Technische Hürden und Lösungen

Hohe Datenraten erzeugen riesige Mitschnitte. Verschlüsselung begrenzt Inhaltssicht, Offloading verändert lokal sichtbare Prüfsummen und Zeitpunkte. Filter müssen zwischen Capture und Display unterschieden werden. Mitschnitte können sensible Daten enthalten.

Standardisierung und Einordnung

Monitoring entwickelte sich vom einfachen Prüfen erreichbarer Geräte zu einer eigenen Disziplin aus Metriken, Ereignissen, Protokollen und Traces. Die zentrale Schwierigkeit besteht nicht im Sammeln möglichst vieler Daten, sondern im Erkennen relevanter Abweichungen. Zeitstempel, eindeutige Identitäten, Aufbewahrung, Normalisierung und sinnvoll gesetzte Alarmgrenzen entscheiden darüber, ob Messdaten im Störungsfall helfen.

Technik im praktischen Betrieb

Ein Messwert benötigt Kontext: Einheit, Quelle, Intervall, Aggregation und erwarteten Normalbereich. Durchschnittswerte können kurze Spitzen verdecken, Maximalwerte kleine Ausreißer überbetonen. Aufbewahrung und Auflösung sollten zum Diagnoseziel passen. Alarme müssen einen klaren Besitzer, eine Handlungsanweisung und eine Eskalation besitzen. Regelmäßige Tests mit absichtlich ausgelösten Fehlern zeigen, ob Benachrichtigung, Bereitschaft und Runbook wirklich funktionieren.

Warum das Thema heute noch relevant ist

Historische Daten schaffen erst dann Wert, wenn sie vergleichbar bleiben. Änderungen an Geräten, Namen, Intervallen oder Messdefinitionen müssen deshalb nachvollziehbar sein. Langfristige Trends beantworten Kapazitätsfragen, detaillierte kurze Daten helfen bei Störungen. Beide Ziele verlangen unterschiedliche Auflösung. Monitoring ist zugleich Teil der Beweiskette: Ohne unabhängige Zeit, unveränderte Logs und bekannte Datenlücken lässt sich nach einem Vorfall nur schwer unterscheiden, was tatsächlich geschah und was lediglich vermutet wird.

Daten und Meilensteine

• 1998 startet Ethereal.
• 2006 wird daraus Wireshark.
• libpcap beziehungsweise Npcap liefern Paketerfassung.
• Capture Filter und Display Filter verwenden unterschiedliche Syntax.

Was ist Wireshark?

Wireshark ist der führende Open-Source-Netzwerk-Protokollanalysator. Es erfasst (snifft) Netzwerkpakete direkt von einer Netzwerkschnittstelle oder liest pcap-Dateien ein und zeigt den Inhalt in strukturierter, menschenlesbarer Form an – aufgeschlüsselt nach allen Protokollschichten (Ethernet, IP, TCP, HTTP, DNS usw.).

Einsatzbereiche: Netzwerk-Fehlerdiagnose, Performance-Analyse, Protokollentwicklung und -analyse, Security-Analyse und Incident Response, Netzwerk-Lernen.

Capture und Display Filter

Wireshark hat zwei Filter-Typen:

Capture Filter (vor der Aufzeichnung, BPF-Syntax): Reduziert Datenvolumen. Beispiele: tcp port 443 (nur HTTPS), host 192.168.1.1 (nur ein Host), not arp (kein ARP), port 53 (DNS).

Display Filter (nach der Aufzeichnung, Wireshark-Syntax): Zeigt nur bestimmte Pakete. Beispiele: http (HTTP-Pakete), tcp.flags.syn==1 (TCP-SYN-Pakete), ip.addr==8.8.8.8 (DNS-Server), dns.qry.name contains "google" (DNS-Anfragen mit google), frame contains "password" (Suche nach Passwort).

tcpdump und tshark

Für Server ohne GUI: tcpdump ist das Kommandozeilen-Äquivalent. Aufzeichnen: tcpdump -i eth0 -w capture.pcap tcp port 443. Lesen: tcpdump -r capture.pcap. tshark ist Wiresharks CLI-Tool mit Display-Filter-Syntax.

Wichtige Analyseszenarien: TCP-Handshake (SYN→SYN-ACK→ACK), TCP-Retransmissions (Performance-Problem), DNS-Fehler (NXDOMAIN), TLS-Handshake-Probleme, hohe Latenz (RTT aus TCP-Timestamps berechnen).