Wireshark ile paket inceleme, ekranda mümkün olduğunca çok trafik görmek yerine önceden belirlenmiş bir teşhis sorusuna yetecek kanıtı en az veriyle toplamayı amaçlar. Etkili bir plan, yetkiyi, hedef cihazı, zaman aralığını, protokol kapsamını ve inceleme sonunda veriyi koruma yöntemini paket yakalama başlamadan belirler.

Paket kaydı, bağlantının paket düzeyindeki davranışını gösterebilir; ancak tek başına sorunun nedenini kesinleştirmez. İncelemeyi yürüten kişi, sorunun olası nedenini paket kaydıyla sınar ve sonucu gerektiğinde ping, traceroute, uygulama günlükleri veya cihaz kayıtlarıyla karşılaştırır.

Paket Yakalama Yetkisini, Amacını ve Kapsamını Belirleme

Paket yakalama sırasında hassas bilgiler de kayda girebilir. Trafik kaydı IP adresleri, alan adları, zaman bilgileri, cihazlar arasındaki ilişkiler ve bazı protokollerde uygulama verileri gibi ayrıntılar içerebilir. Bu nedenle yalnız ağın sahibi veya sorumlu ekibin açıkça yetkilendirdiği kişi incelemeyi yürütür.

İnceleme planında cevaplanacak teşhis sorusu açıkça yazılır. “İstemci neden sunucuya bağlanamıyor?”, “TCP oturumu hangi aşamada kesiliyor?” veya “Belirli bir uygulama isteği sırasında yeniden iletim görülüyor mu?” gibi sorular, neyin toplanacağını ve neyin kapsam dışında kalacağını belirler. Belirsiz hedef, gereğinden uzun yakalamaya ve ilgisiz kullanıcı trafiğinin kaydedilmesine yol açabilir.

İncelemeyi yürüten ekip kapsamı cihaz, ağ bölümü, uygulama, hedef adres grubu ve zaman aralığına göre daraltır. Başka kullanıcıların trafiğiyle karşılaşma ihtimali varsa veriden kimin sorumlu olduğu ve dosyaya kimlerin erişebileceği de belirlenir. Yetki veya amaç net değilse paket yakalama başlatılmaz.

Hedef Sistem, Gözlem Noktası ve Yetkilerin Seçimi

Gözlem noktası, elde edilecek kanıtı doğrudan etkiler. İstemciye özgü bir sorun için istemcideki uygun arayüz, sunucu tarafındaki bir davranış içinse sunucuya yakın bir nokta daha anlamlı olabilir. Yönlendirici, güvenlik duvarı veya yük dengeleyici öncesindeki ve sonrasındaki kayıtlar, değişen adresleri ve bağlantı durumlarını farklı gösterebilir.

İşletim sistemleri paket yakalama için farklı sürücü, yetki ve güvenlik modelleri kullanır. Plan, Wireshark'ın hangi kullanıcı hesabıyla çalışacağını, yakalama bileşenine kimin erişebileceğini ve yönetici yetkisinin nasıl sınırlanacağını açıklar. Ekip sürekli yönetici yetkisini varsayılan seçenek saymaz; kurumun işletim sistemi ve uç nokta güvenliği politikasını esas alır.

Birden fazla etkin arayüz bulunduğunda Wi-Fi, Ethernet, VPN tüneli veya sanal makine ağı aynı olayı farklı noktalardan gösterebilir. VPN tüneli trafiği şifreli bir bağlantı üzerinden taşıyabilir; tünelin içindeki ve dışındaki kayıtlarda farklı paket ayrıntıları görülür. Aynı cihazdaki uygulamalar loopback adresi üzerinden haberleşiyorsa loopback arayüzü seçilir. İncelemeyi yürüten kişi, uygulama trafiğinin gerçekten geçtiği arayüzü seçer. Yanlış arayüzde paket görünmemesi, bağlantının kurulmadığını kanıtlamaz.

Yakalama ve Görüntüleme Filtreleri Arasındaki Farklar

Wireshark'ta yakalama filtresi ile görüntüleme filtresi farklı görevler üstlenir. Yakalama filtresi, Wireshark'ın dosyaya yazacağı paketleri toplama sırasında sınırlar; filtre dışındaki paketler dosyada yer almaz. Görüntüleme filtresi ise mevcut dosyada yalnız ilgili paketleri gösterir, fakat ham dosyanın içerdiği veriyi azaltmaz.

İncelemeyi yürüten kişi, planlama aşamasında önce teşhis için gereken en az veriyi belirler. İncelenen sorun belirli bir TCP bağlantısıyla sınırlıysa ilgili uçlar, bağlantı zamanı ve beklenen uygulama protokolü yeterli olabilir; tüm gün boyunca bütün arayüz trafiğini toplamak çoğu durumda gereksizdir. Yakalama filtresi gereksiz veri toplamayı azaltır, ancak fazla dar bir filtre bağlantı kurulmadan önceki işlemleri dışarıda bırakabilir. Örneğin alan adını IP adresine çeviren DNS sorguları, yerel ağdaki adres eşleştirme mesajları veya ağ hata bildirimleri kayda girmeyebilir.

İki filtre türünün sözdizimi ve değerlendirme biçimi farklıdır; birinde çalışan ifade diğerine doğrudan taşınmayabilir. Bu nedenle plan, kullanılacak filtrenin türünü, dahil ettiği trafiği ve hangi kanıtları dışarıda bırakabileceğini kaydeder. Ekip, filtre tanımını kısa bir denemeyle doğrulamadan uzun bir incelemeye başlamaz.

Yakalama Süresini ve Olay Saatlerini Belirleme

Olayın başlangıç ve bitiş saatlerinin bilinmesi, paket kaydındaki ilgili bölümü bulmayı kolaylaştırır. İncelemeyi yürüten kişi, kullanıcı eyleminin, uygulama hatasının ve paket yakalamanın zamanlarını aynı saat kaynağına göre eşleştirir. Saat farkı veya yanlış zaman dilimi, paketlerle günlük kayıtları arasındaki ilişkiyi belirsizleştirir.

Yakalama süresini, olaydan ne kadar önce başlayıp ne kadar sonra biteceğiyle birlikte belirleyin. Ekip, tekrar üretilebilen bir sorunda önce normal davranış için kısa bir karşılaştırma kaydı, ardından aynı koşullarda sorunlu durum kaydı alabilir. Bu iki kayıt, yalnız paket sayısını değil davranış farklarını da gösterir.

Tekrarlanamayan kesintilerde döngüsel veya sürekli yakalama ayrıca risk değerlendirmesi gerektirir. Dosya boyutunu, disk alanını, çalışan sistem üzerindeki ek yükü ve daha fazla hassas veri toplama ihtimalini birlikte değerlendirin. Döngüsel kayıtta eski dosyaların üzerine yazılabileceği için olay görüldüğünde ilgili kaydı zamanında korumak gerekir. Açık bir saklama ve silme kuralı yoksa sürekli kayıt varsayılan yöntem olmamalıdır.

Protokollere Göre Paket İncelemesi

Paket dosyasında sorunun nedenini doğrudan gösteren tek bir “hata” alanı yoktur; doğru yorum için trafiği protokolün beklenen davranışıyla karşılaştırmak gerekir. IPv4 ve IPv6 paketleri ayrı adres aileleri kullandığı için plan, ortamın bu adres ailelerinden hangilerini kullandığını belirtir. Yalnız IPv4'e odaklanan bir filtre, uygulamanın IPv6 üzerinden yaptığı başarılı veya başarısız denemeleri görünmez bırakabilir.

ICMP ve ICMPv6, sırasıyla IPv4 ve IPv6 ağlarında hata ve kontrol mesajları taşır. Bu mesajlar yalnız ping istekleri ve yanıtlarından oluşmaz. Bu hata ve kontrol mesajları, paketin neden iletilemediğine dair ipucu verebilir. Güvenlik duvarları veya ara cihazlar bazı mesajları sınırlayabildiği için ICMP ya da ICMPv6 görülmemesi tek başına hatasız bir yol anlamına gelmez.

TCP, veriyi sıralı ve güvenilir biçimde iletmek için bağlantı durumunu ve alınan veri onaylarını takip eder. İncelemede bağlantı kurulumu, sıra numaraları, onaylar, yeniden iletimler ve kapanış birlikte değerlendirilir. Alıcının kabul edebileceği veri miktarını bildiren TCP penceresi de önemlidir. Wireshark'ın yeniden iletim işareti, yakalanan paketlerden çıkardığı bir yorumdur; kayıp, gecikme, eksik yakalama veya paketlerin farklı sırada gelmesiyle birlikte değerlendirilmelidir. Bu işaret tek başına fiziksel ağ arızası kanıtı değildir. Plan, hangi TCP davranışının düşünülen nedeni destekleyeceğini önceden açıklar.

Wireshark, HTTPS gibi şifreli uygulama trafiğinde uygun şifre çözme bilgileri olmadan içeriği açık metne dönüştüremez; görünür paket başlıklarını ve bağlantı davranışını gösterir. İnceleme planı, yetki olmadan şifreli içeriği açığa çıkarma veya gizli anahtar toplama işlemini kapsamaz. Sorun uygulama katmanındaysa, yetkili uygulama günlükleri ve sunucunun performans ve hata ölçümleri daha uygun kanıt olabilir.

Genel Bağlantı Teşhisi ile Paket Analizi Arasındaki Ayrım

Wireshark, ping ve traceroute araçlarının yerine geçen genel bir bağlantı testi değildir. Ping belirli bir hedefin yanıt verip vermediğini ve yanıtın gidiş-dönüş süresini ölçer; traceroute ise test paketlerinin yolundaki ara yönlendiricileri belirlemeye çalışır. Wireshark ise seçilen gözlem noktasından geçen paketlerin ayrıntısını inceler.

Bağlantının tamamen kopuk olup olmadığını anlamak için önce daha basit teşhis yöntemleri yeterli olabilir. Ekip, basit testlerin açıklayamadığı yeniden iletim, bağlantı kurulumu, protokol yanıtı veya istemci-sunucu zamanlaması gibi ayrıntılar gerektiğinde paket incelemesine başvurur. Bu ayrım, gereksiz veri toplamayı ve yanlış araçla geniş kapsamlı incelemeyi azaltır.

Paket Dosyasının Saklanması ve Paylaşılması

Paket dosyasına yalnız inceleme için ihtiyaç duyan kişiler erişmelidir. Aktarım için kurumun onaylı ve korumalı kanalını kullanın; dosyayı herkese açık bir bağlantıyla paylaşmayın. Paylaşılan kopyaların kimde ve nerede tutulduğunu kaydedin.

Ekip, saklama süresini incelemenin tamamlanması ve gerektiğinde bulgunun doğrulanması için gereken en kısa dönemle sınırlar. Dosya adına veya klasör yapısına gereksiz kişisel bilgi eklemek yerine olay kimliği ve tarih gibi gerekli tanımlayıcıları kullanır. Saklama süresi dolduğunda ekip çalışma kopyalarını, geçici dışa aktarımları ve paylaşılmış nüshaları siler.

Ekip bir paket kaydını başkalarıyla paylaşacaksa yalnız görüntüleme filtresi uygulandığında hassas verinin dosyadan silinmediğini dikkate alır. Paylaşım için yalnız gerekli paket ve alanları içeren ayrı bir kopya üretildiğinde, hangi verilerin korunduğu veya çıkarıldığı kaydedilir ve değişikliklerin teknik anlamı bozup bozmadığı doğrulanır. Anonimleştirme işlemi, her durumda yeniden tanımlama riskini tamamen ortadan kaldırmayabilir.

Kanıtın Tutarlılığı ve Analiz Notları

Ekip, inceleme sonucunun daha sonra yeniden değerlendirilebilmesi için yakalamanın bağlamını ayrı bir olay kaydında tutar. Bu kayda işletim sistemini, Wireshark sürümünü, seçilen arayüzü, başlangıç ve bitiş zamanını, uygulanan yakalama filtresini ve olayı tetikleyen kullanıcı eylemini ekler. Bu bilgiler olmadan aynı paket dizisi farklı yorumlara açık kalabilir.

Ham paket dosyasını belirlenen saklama süresi boyunca değiştirmeden koruyun ve filtrelenmiş ya da azaltılmış çalışma kopyalarına ayrı adlar verin. Analiz notları, “pakette görülen bulgu” ile “bu bulgudan çıkarılan olası nedeni” ayrı biçimde gösterir. Örneğin aynı TCP verisinin birden fazla kez gönderilmesi kayıtta görülebilir; bunun kablo arızasından kaynaklandığı ise başka kanıt gerektiren bir yorumdur.

Wireshark İnceleme Planında Bulunacak Bilgiler

Kısa bir plan belgesi, yetkilendirilmiş kapsamın dışına çıkılmasını ve gerekli bilgilerin atlanmasını önlemeye yardımcı olur. Belge, gözlemin nerede ve ne zaman yapılacağını ve hangi bulguların düşünülen nedeni destekleyeceğini belirtir.

  1. Teşhis sorusu: Doğrulanacak bağlantı davranışını tek cümleyle yazın.
  2. Yetki ve sorumlu: Ağı, cihazı ve veriyi inceleme yetkisini veren tarafı belirtin.
  3. Gözlem noktası: Hangi cihazın hangi arayüzünde ve hangi ağ konumunda kayıt alınacağını tanımlayın.
  4. Yakalama süresi: Olayın tetikleneceği veya beklendiği kısa süreyi belirleyin.
  5. Filtre kapsamı: Dahil edilecek adres ailesini, protokolü ve uçları; dışarıda kalabilecek kanıtları not edin.
  6. Beklenen bulgu: Hangi paket davranışının düşünülen nedeni destekleyeceğini veya zayıflatacağını yazın.
  7. Veri yönetimi: Dosyanın kimde kalacağını, nasıl paylaşılacağını ve ne zaman silineceğini belirleyin.