Introducción: Capturando la Conversación de la Red
Si Nmap nos dice quién está en la red, Wireshark nos dice qué están diciendo. Wireshark es el analizador de protocolos de red (Network Protocol Analyzer) más potente y utilizado,
esencial para el diagnóstico y la ciberseguridad. Permite capturar y analizar el tráfico que viaja por un segmento de red en tiempo real o desde un archivo de captura (pcap).
En el Pentesting y en la respuesta a incidentes, Wireshark es indispensable para la búsqueda de credenciales en texto plano, la detección de anomalías y la comprensión profunda de la comunicación entre sistemas.
El Dominio de la Captura y el Filtrado
Una captura de red puede generar gigabytes de datos en minutos, por lo que el filtrado es la habilidad más importante:
- Modo Promiscuo: Para el análisis de seguridad, a menudo es necesario que el adaptador de red opere en modo promiscuo, lo que le permite capturar todos los paquetes que pasan por el segmento de red, no solo aquellos dirigidos a su propia dirección MAC.
- Filtros de Captura: Se utilizan antes de que comience la captura para limitar el volumen de datos que se graban (ej. port 80 and host 192.168.1.5).
- Filtros de Visualización: El verdadero poder de Wireshark. Se aplican después de la captura y son extremadamente flexibles para buscar patrones complejos
(ej. http.request.method == “POST” o ip.addr == 1.1.1.1 and tcp.flags.syn == 1).
Análisis de Protocolos Clave para la Seguridad
El análisis detallado revela debilidades operacionales:
- HTTP (HyperText Transfer Protocol): Al ser un protocolo de texto plano, cualquier credencial o información enviada a través de HTTP puede ser leída directamente por un atacante con Wireshark. El Pentester busca flujos HTTP para demostrar la falta de cifrado.
- ARP (Address Resolution Protocol): Se utiliza para mapear IPs a direcciones MAC. Wireshark es clave para detectar ataques de ARP Spoofing, donde un atacante inyecta respuestas ARP falsas para engañar a los hosts y que le envíen el tráfico, facilitando un ataque Man-in-the-Middle.
- DNS (Domain Name System): Analizar las consultas DNS permite identificar a qué servidores y dominios externos accede la organización, ayudando a perfilar la red de un objetivo.
- SSL/TLS (Cifrado): Si bien el contenido de los datos cifrados no puede leerse sin la clave privada, Wireshark permite analizar el proceso de handshake (negociación de la conexión) y verificar que se estén utilizando versiones seguras del protocolo (TLS 1.2 o 1.3) y suites de cifrado robustas.
Conclusión: La Visibilidad Total es la Defensa
Dominar Wireshark permite al equipo de seguridad comprender la lógica del tráfico, detectar anomalías sutiles y, lo más importante, demostrar de forma irrefutable las vulnerabilidades de tráfico no cifrado.
