tcpdump ile pcap dosyasını analiz etme

tcpdump ile pcap dosyasını analiz etme

Giriş ve hedef
Bir pcap dosyası, ağ üzerinden iletilen paketlerin yakalanmış bir görünümüdür. tcpdump, bu dosyayı komut satırından hızlıca incelemek için en kullanışlı araçlardan biridir. Burada temel akışı kuracak şekilde adım adım yaklaşım ve pratik ipuçları paylaşacağım: hangi filtrelerle hangi katmanı hedeflemek gerekir, paket türlerini nasıl ayırt edersiniz, ve sık yapılan hatalar nelerdir.

1) Temel okuma ve özetleme

• Basit bir içerik çıkarımı için: tcpdump -r dosya.pcap
• Paket sayısı, zaman damgaları ve protokol özetini görmek için: tcpdump -r dosya.pcap -tttt
• Spesifik bir protokolü filtrelemek: tcpdump -r dosya.pcap tcp
• Bir IP aralığında gerçekleşen trafiği daraltmak: tcpdump -r dosya.pcap net 192.0.2.0/24

Bu komutlar, dosyadaki paketleri ekrana yazdırır ve hızlı bir “neler oluyor” görünümü verir. Yorumlar silinsin diye uzun formatta ve zaman damgası ile izlendiğinde, olayların sıralı akışı kolayca takip edilir.

2) Katmanlar ve protokol analizi

• Ethernet ve ARP gibi bağlantı katı protokollerini görmek için -e ve arp filtreleri kullanılır: tcpdump -r dosya.pcap -e arp
• IP katmanı için; IPv4/IPv6 ayırt etmek adına aynı anda protokol türünü görmek gerekir: tcpdump -r dosya.pcap ip or ip6
• Uygulama katmanı için ise port bazlı filtreler işe yarar: tcpdump -r dosya.pcap 'tcp port 80 or 443'

Bu, veri akışını hangi katmanda daraltacağınızı ve hangi protokol kümelerine odaklanacağınızı netleştirir.

3) Ayrıntılı inceleme ve ek bilgiler

• Paket içeriğini hex ve ASCII olarak görmek için: tcpdump -r dosya.pcap -xx
• Sözlü özet yerine, belirli bir akışın tüm paketlerini incelemek için “serialized stream” yaklaşımı kullanılır: tcpdump -r dosya.pcap 'tcp and (((ip[2:2] - ((ip[0] & 0xf) 0) and ...)'
• Zaman damgalarını daha anlamlı kılmak için -tttt ve -n seçenekleriyle ICMP hata mesajlarını azaltmak için isimleri çözümler: tcpdump -r dosya.pcap -tttt -n

4) Troubleshooting ve pratik tavsiyeler

• Yetersiz filtreleme, sonuçların boğucu olması durumunda, önce geniş bir görünüm alın, ardından daraltıcı filtreler uygulayın.
• Büyük dosyalarla çalışırken bellek/CPU kullanımını kontrol edin; gerekiyorsa dosyayı bölerek analiz edin.
• Akış tabanlı analiz için birlikte kullanılan araçlar (örn. Wireshark) ile birlikte kullanmak, tcpdump ile elde edilen çıktıyı daha çıplak şekilde yorumlamanıza olanak verir.

Kapanış
tcpdump, pcap dosyalarını hızlı bir biçimde çözümlerken hem bütünü görmek için kapsamlı filtreler sunar hem de belirli akışları derinleştirmek için gereken araçları sağlar. Bu temel çerçeveyle, kendi pcap’inizde hangi soruyu sorduğunuzda hangi filtreyi uygulamanız gerektiğini netleştirebilirsiniz.