LecturaSu primera captura: interfaz y pantalla
Bienvenida
Bienvenido a Wireshark en 45 minutos. La primera vez que se abre Wireshark, la lista corre tan rápido que parece imposible sacar algo en limpio. Esta píldora es para quien empieza en un SOC, en soporte o en redes y quiere encontrar lo raro en una captura.
No necesita conocimientos previos: una computadora con Windows, Linux o macOS donde pueda instalar programas. Al terminar sabrá elegir la interfaz, leer los tres paneles, filtrar, seguir una conversación y detectar dos patrones sospechosos en tráfico que usted mismo genera. Son tres lecciones cortas, un laboratorio, una chuleta y un quiz de 4 preguntas: unos 45 minutos.
Qué es Wireshark y por qué importa
Wireshark es un analizador de protocolos gratuito y de código abierto: copia cada paquete que pasa por una interfaz de red y se lo muestra desmenuzado, capa por capa. Nació en 1998 como Ethereal, creado por Gerald Combs, y en 2006 tomó su nombre actual: wire es "cable" y shark, "tiburón".
En un SOC, los registros le dicen que hubo una conexión sospechosa; Wireshark le deja ver qué se dijo en ella. Tiene una versión de consola, tshark (lección 2), y guarda en .pcapng (PCAP Next Generation, de packet capture).
Instalación en dos minutos
En Windows, descargue el instalador desde wireshark.org y acepte Npcap, el controlador que permite capturar. Marque la opción de captura del tráfico de loopback: la va a necesitar en el laboratorio.
En Debian o Ubuntu, instálelo y agregue su usuario al grupo wireshark para no capturar como root. usermod -aG suma el grupo sin quitarle los demás.
sudo apt install wireshark
sudo usermod -aG wireshark $USER
# cierre sesión y vuelva a entrar para que el grupo se apliqueElegir la interfaz y capturar
Cada interfaz de la lista tiene una pequeña gráfica. Si no sabe cuál usar, elija la que se mueve: esa lleva tráfico.
| Interfaz | Cuándo usarla |
|---|---|
Wi-Fi o wlan0 | Su conexión inalámbrica habitual |
Ethernet o eth0 | Si está conectado por cable |
Loopback o lo | Tráfico que su equipo se envía a sí mismo |
| Adaptadores virtuales | Redes de VirtualBox, VPN o contenedores |
Doble clic en la interfaz inicia la captura. Ctrl+E (o el cuadrado rojo) la detiene, Ctrl+R la reinicia descartando lo anterior y Archivo > Guardar como la guarda en .pcapng.
Leer la pantalla
Arriba está la lista de paquetes, una fila por paquete con número, tiempo, origen, destino, protocolo y resumen. En el medio, el detalle del paquete seleccionado, desplegado por capas: trama, Ethernet, IP, TCP o UDP y aplicación. Abajo, los bytes en hexadecimal y texto. Los colores orientan (TCP en violeta claro, UDP en celeste, errores en negro y rojo).
- 1. Filtro de visualización: en verde si es válido (aquí, dns); en rojo si tiene un error.
- 2. Lista de paquetes: una fila por paquete, con número, tiempo, origen, destino, protocolo e información. La fila seleccionada se marca; las de errores salen en negro y rojo.
- 3. Detalle: las capas del paquete seleccionado (trama, Ethernet, IP, TCP o UDP y aplicación), desplegables.
- 4. Bytes: el paquete en hexadecimal y ASCII. Al elegir un campo del detalle se resaltan sus bytes.
No. Time Source Destination Protocol Info
14 2.104331 192.0.2.25 198.51.100.53 DNS Standard query 0x3a1f A portal.ejemplo.cr
15 2.131870 198.51.100.53 192.0.2.25 DNS Standard query response 0x3a1f A portal.ejemplo.cr A 203.0.113.80
16 2.132904 192.0.2.25 203.0.113.80 TCP 51522 → 443 [SYN] Seq=0 Win=64240 Len=0Tres filas, una historia: el equipo preguntó por un nombre, recibió una IP y abrió una conexión a ella.
Errores frecuentes
The capture session could not be initiated on capture device "wlan0"
(You don't have permission to capture on that device).En Linux su usuario aún no está en el grupo wireshark: ejecute el usermod y vuelva a iniciar sesión. En Windows, si no aparece ninguna interfaz o falta la de loopback, reinstale y marque Npcap con esa opción.