Системный Администратор | Sysadmin Windows & Linux Server. Настройка Сети, ПК и Железа. IT Уроки для Сисадмина: Безопасность, Софт и Техподдержка (Helpdesk). Компьютерная помощь.
IT и технологии · 14 сентября 2026 г.
🔥 Продвинутые Wireshark-фильтры, которые должен знать каждый сетевик
🔥 Продвинутые Wireshark-фильтры, которые должен знать каждый сетевик Эта подборка - для глубокого анализа: расследование задержек, поиска проблем TLS, выявления утечек, анализа потоков и отладки сервисов. ⚡ 1. Анализ медленных соединений и задержек ⚫️ tcp.analysis.flags Показать ВСЕ TCP-анализ события (retransmission, duplicate ACK, out-of-order). ⚫️ tcp.analysis.lost_segment Потерянные сегменты. ⚫️ tcp.analysis.duplicate_ack Дубликаты ACK — признаки нестабильного канала. ⚫️ tcp.time_delta > 0.5 Пакеты, между которыми задержка > 500 мс. ⚫️ tcp.stream eq 5 Выбор конкретного TCP-потока. 🔐 2. Глубокое исследование TLS/SSL ⚫️ tls.record.version == 0x0303 Только TLS 1.2. ⚫️ tls.record.version == 0x0304 Только TLS 1.3. ⚫️ tls.handshake.type == 11 Сертификат сервера (Certificate). ⚫️ tls.app_data Только зашифрованные TLS данные. ⚫️ tls.record.length > 1500 Аномально большие TLS-записи. 🛰 3. DNS - поиск аномалий, туннелей, ошибок ⚫️ dns.qry.name contains "api" Запросы, содержащие “api”. ⚫️ dns.flags.rcode != 0 Ошибки DNS (NXDOMAIN, SERVFAIL и др). ⚫️ dns.qry.type == 16 TXT-запросы (часто используются в туннелях). ⚫️ dns.qry.name matches "[A-Za-z0-9]{40,}" Подозрительно длинные запросы — признаки DNS exfiltration. 📡 4. HTTP/HTTP2/REST API низкоуровневый анализ ⚫️ http.request.full_uri contains "login" Анализ обращений к логину. ⚫️ http.request.version == 2.0 HTTP/2 трафик. ⚫️ http.request.time > 1 Медленные HTTP-запросы (>1 сек). ⚫️ http.cookie contains "session" Запросы с куками, содержащими session. 🧱 5. Поиск подозрительного или вредоносного трафика ⚫️ frame matches "([A-Za-z0-9+/]{200,}={0,2})" Бейс64 блоки большого размера — признак утечки. ⚫️ tcp.flags.reset == 1 Пакеты с RST: агрессивное завершение соединений. ⚫️ ip.ttl < 5 Аномально маленький TTL (скрытые сети, туннели). ⚫️ tcp.port in {4444 1337 5555 31337} Подозрительные порты, часто используемые RAT/ботнетами. ⚙️ 6. Универсальные фильтры для тонкого анализа ⚫️ tcp.segment.reassembled Показать пакеты, собранные из фрагментов. ⚫️ tcp.reassembled.length > 5000 Большие данные после реассемблирования. ⚫️ eth.addr == aa:bb:cc:dd:ee:ff Фильтр по MAC (полезно в VLAN). ⚫️ wlan.fc.type_subtype == 0x08 Beacon-фреймы Wi-Fi. 👉 @i_odmin