Wireshark, ağ trafiğinin detaylı analizinde en güçlü araçlardan biridir. SSH (Secure Shell) ise, uzaktan güvenli bağlantı kurmak ve veri iletimi sağlamak için yaygın olarak kullanılan protokoldür. Ancak, SSH trafiği şifreli olduğu için, içeriğini doğrudan incelemek çoğu zaman mümkün değildir. Bu nedenle, SSH trafik analizinin temel amacı, bağlantı aşamasını ve protokol davranışlarını anlamaktır.
İlk olarak, Wireshark ile SSH trafiğini yakalamak ve filtrelemek oldukça basittir. Filtre çubuğuna
ssh yazarak, sadece SSH ile ilgili paketleri görebilirsiniz. Bu noktada, bağlantı kurulumunu ve el sıkışma sürecini detaylıca inceleyebilirsiniz. SSH el sıkışma aşaması, genellikle birkaç temel adım içerir:
- Kimlik doğrulama ve anahtar değişimi
- Şifre veya anahtar tabanlı kimlik doğrulama
- Seans anahtarlarının mübadelesi
Wireshark'ta, el sıkışma aşamasını takip etmek için TCP bağlantılarını ve handshake paketlerini analiz etmek gerekir. Ayrıca,
Server Hello,
Key Exchange ve
Finished mesajlarını tanımlayarak, bağlantının güvenli hale gelme sürecini izleyebilirsiniz.
İkinci olarak, şifreli trafik içeriğine erişim mümkün olmadığından, bağlantı sırasında kullanılan algoritmaları ve anahtar değişim parametrelerini incelemek faydalı olur. Bu bilgiler, genellikle el sıkışma paketlerinde yer alır. Ayrıca, bağlantı noktası (varsayılan 22) ve trafik yoğunluğu gibi metrikler, saldırı tespiti veya performans analizi açısından önemlidir.
Son olarak, SSH trafiğinin şifreli olması, içeriğin doğrudan analizine izin vermez. Ancak, bağlantı davranışlarını, paketlerin zamanlamasını ve el sıkışma detaylarını takip ederek, olası zafiyetleri veya anormallikleri tespit etmek mümkündür. Bu analiz, özellikle saldırı tespiti ve ağ güvenliği açısından kritik öneme sahiptir.
Bu genel çerçevede, Wireshark kullanarak SSH trafiği analizine dair temel prensipler ve teknikler ortaya konmuştur. SSH trafiğinin şifreli yapısı nedeniyle, içerik değil davranış ve protokol aşamaları üzerinde durmak en doğru yaklaşımdır.
