Sıfırdan PCAP Analizi: Wireshark'ta İlk Saatin
Trafik yakalamayı öğrenmeye başlayanlar için filtreleme mantığı ve şüpheli paket desenlerini fark etme rehberi.
PCAP analizine başlarken en büyük hata, Wireshark'ı açıp "neye bakacağımı anlarım" demek. Binlerce paket arasında kaybolmamak için önce soru sormak gerekiyor.
İlk Adım: Soru Belirle
"Bu trafikte kötü bir şey var mı?" sorusu çok geniş. Bunun yerine: "Bu IP dışarıya anormal miktarda veri gönderiyor mu?" veya "Port 4444'e bağlantı var mı?" gibi odaklı sorularla başlayın.
Temel Filtreler
Wireshark'ın display filter sözdizimini öğrenmek büyük zaman kazandırıyor:
# Belirli bir IP'nin tüm trafiği
ip.addr == 192.168.1.100
# Yalnızca TCP SYN paketleri (port taraması tespiti için)
tcp.flags.syn == 1 and tcp.flags.ack == 0
# DNS sorguları
dns.qry.name contains "suspicious"
# Büyük payload'lar (veri sızıntısı şüphesi)
frame.len > 1400 and ip.dst != 192.168.0.0/16Şüpheli Desenleri Tanımak
Beaconing davranışı: aynı dış IP'ye düzenli aralıklarla (örn. her 60 saniyede) küçük paketler gönderilmesi. C2 iletişiminin klasik göstergesi. Wireshark'ta Statistics → I/O Graphs ile bu ritmi görsel olarak yakalayabilirsiniz.