[네트워크기초이론]#17. Wireshark의 내부구조와 작동원리

- Wireshark 사용 방법 익히기

 

- window환경에서 chrome이 작동

- HTTP 통신 (L7)

- TCP(L4) / IP(L3)를 기반으로 통신

- User mode application이 TCP/IP와 인터페이싱 할 때는

- TCP를 추상화한 Socket인터페이를 타고 정보를 주고 받음

- Socet - Stream (크기 개념 없음, 언제 끝날지 모름)

   TCP - Segment (MSS)

   IP - Packet (MTU)

   Ethernet - Frame

 

Filter

- Filter = 걸러지는 것들, 통과하는 것들이 있음

- 통과: Bypass

- 막음: Drop

 

Outbound / Inbound

- Outbound: 트래픽이 호스트에서 네트워크로 나가는 것

- Inbound: 거꾸로 들어오는 것

 

Sensor

- 무엇이 오든 전부 Bypass 시킴

- 하지만 어떤 것들이 오가는지 감시는 함

- 역할: 수집

- Wireshark 설치시 센서 설치됨

     - Npcap (이전에는 Winpcap)

https://npcap.com/

Npcap: Windows Packet Capture Library & Driver

- Inbound 혹은 Outbound되는 모든 데이터를 끌어다가 Wireshark로 보냄

Wireshark

- 기본적으로 하는 일은 디코딩

- 프로토콜, 의미...

- 센서 데이터로 부터 수집 및 전송 받은 데이터를 분석해서 사람이 알아볼 수 있도록

   프로토콜 규정에 맞게 해석해서 보여준다.

- 공식적으로는 Analyzer

- 수집하다보면 다른 사람의 정보까지도 수집됨

      - 이때는 도감청이 될수도 있다(불법)

      - 정당한 목적과 적법한 절차가 중요

- 그래서 Sniffer라고도 함

 

 

정리

- Wireshark는 Sensor (Filterling은 안함)

- Npcap을 이용해서 sensing

- raw 데이터를 수집하고 Analyzer를 통해서 어떤 통신이 이루어졌는지 디코딩함

 

 

 

출처: https://youtu.be/5Dku-vX3w-c?si=uYOTGuAnTOqRXlqi