Linux Tcpdump PCAP Dosyası Okuma

Tcpdump, ağ trafiğini analiz etmek için kullanılan güçlü bir komut satırı aracıdır. Bu araç, ağ üzerinden geçen verileri yakalayıp kaydedebilir ve bu verileri daha sonra incelemek için PCAP (Packet Capture) formatında dosyalar oluşturabilir. Bu yazıda, Linux üzerinde Tcpdump ile oluşturulmuş bir PCAP dosyasını nasıl okuyabileceğinizi detaylı bir şekilde ele alacağız.

Tcpdump ile bir PCAP dosyası oluşturmak için öncelikle terminalde aşağıdaki komutu çalıştırabilirsiniz:



Bu komut, eth0 arayüzündeki tüm trafiği trafik.pcap adlı dosyaya kaydedecektir. Yararlı bir filtre kullanarak belirli bir protokol veya IP adresi için verileri sınırlamak isterseniz, komutunuzu şu şekilde düzenleyebilirsiniz:



Bu komut, yalnızca 192.168.1.1 IP adresine ait verileri yakalayacaktır.

Bir PCAP dosyasını okumak için bir dizi araç ve yöntem bulunmaktadır. En yaygın kullanılan araçlardan biri Wireshark'tır. Wireshark, görsel bir arayüze sahip olup, PCAP dosyalarını kolayca analiz etmenizi sağlar. Ancak, terminal tabanlı bir çözüm arıyorsanız, tcpdump veya tshark kullanabilirsiniz.

Tcpdump ile bir PCAP dosyasını okuyup analiz etmek için şu komutu kullanabilirsiniz:



Bu komut, trafik.pcap dosyasını okuyacak ve içindeki paketleri terminalde listeleyecektir. Eğer daha detaylı bilgi almak isterseniz, -v, -vv veya -vvv seçeneklerini ekleyebilirsiniz; bu seçenekler, paketlerin ayrıntılı bir şekilde görüntülenmesini sağlar.

Ayrıca, tshark ile daha karmaşık analizler yapmak mümkün:



Bu komut, yalnızca HTTP trafiğini filtreleyip gösterecektir. Bu tür filtreler, belirli protokolleri veya IP adreslerini hedef alarak daha odaklı analizler yapmanıza olanak tanır.

Sonuç olarak, Linux üzerinde Tcpdump ile oluşturulan PCAP dosyalarını okumak ve analiz etmek, ağ güvenliği ve performansı açısından kritik bir beceridir. Bu araçların sağladığı detaylı bilgiler, ağ yöneticilerine ve güvenlik uzmanlarına önemli ipuçları sunar.