와이어샤크

Wireshark; 와이어샤크
네트워크를 흐르는 패킷을 캡처하고 프로토콜 단위로 분석하는 오픈소스 패킷 분석기이다.

와이어샤크는 GUI 기반의 대표적인 패킷 분석 도구로, 네트워크 인터페이스에서 프레임을 캡처하여 계층별로 해석하고 필터·통계 기능을 제공한다. 문제 진단, 스니핑 탐지, 침해사고 분석 등에 널리 쓰인다.

주요 기능

실시간 패킷 캡처와 저장(pcap/pcapng) 후 오프라인 분석
수백 종 프로토콜의 계층별 자동 해석(디섹션)
캡처 필터와 디스플레이 필터를 통한 트래픽 선별
Follow TCP Stream으로 하나의 TCP 세션 데이터를 재조합하여 확인
통계(Statistics) 기능: 프로토콜 계층 구조, 대화(Conversations), 엔드포인트, I/O 그래프

캡처 필터 vs 디스플레이 필터

구분	캡처 필터	디스플레이 필터
적용 시점	캡처 전(수집량 자체를 줄임)	캡처 후(수집된 패킷 중 표시할 것 선별)
문법	libpcap/BPF 문법	와이어샤크 고유 문법
예시	`host 10.0.0.1 and port 80`	`ip.addr == 10.0.0.1 && tcp.port == 80`
특징	표현이 제한적, 되돌릴 수 없음	표현이 풍부, 수시로 변경 가능

캡처 필터(BPF) 예

host 172.18.5.4
net 192.168.0.0/24
tcp port 80
not broadcast and not multicast
tcp[tcpflags] & (tcp-syn) != 0

디스플레이 필터 예

ip.addr == 10.0.0.1 && tcp.port == 80
http.request
tcp.flags.syn == 1
tcp.port in {80, 443, 8080}

디스플레이 필터의 비교 연산자는 ==(eq), !=(ne), >(gt) 등이고, 논리 연산자는 &&(and), ||(or), !(not)이다. 문자열 포함 여부는 contains, 정규식은 matches로 표현한다.

tcpdump와 비교

항목	와이어샤크	tcpdump
인터페이스	GUI 중심(터미널판 tshark 제공)	CLI 전용
분석	프로토콜 계층별 상세 해석·통계	텍스트 기반 요약 출력
필터 문법	캡처는 BPF, 표시는 고유 문법	BPF 문법
용도	심층 분석·시각화	원격·경량 캡처, 스크립트 자동화

무차별 모드

무차별 모드(Promiscuous Mode)는 NIC가 자신에게 향하지 않은 프레임까지 모두 수신하도록 하는 모드로, 공유 매체(허브 환경)나 미러링 포트에서 다른 호스트의 트래픽까지 캡처할 때 필요하다. 스위치 환경에서는 별도 포트 미러링이나 스니핑 기법이 없으면 타 호스트 트래픽이 수집되지 않는다.

시험 포인트

캡처 필터(BPF, 캡처 전)와 디스플레이 필터(고유 문법, 캡처 후)의 문법·시점 차이를 구분한다.
tcp.flags.syn == 1, http.request 같은 대표 디스플레이 필터 표현을 이해한다.
Follow TCP Stream과 통계 기능의 용도를 안다.
무차별 모드의 의미와 스위치 환경에서의 한계를 이해한다.

같이 보기

참고 문헌