🔥 Продвинутые Wireshark-фильтры, которые должен знать каждый сетевик

Эта подборка - для глубокого анализа: расследование задержек, поиска проблем TLS, выявления утечек, анализа потоков и отладки сервисов.


⚡ 1. Анализ медленных соединений и задержек

⚫️ tcp.analysis.flags
Показать ВСЕ TCP-анализ события (retransmission, duplicate ACK, out-of-order).

⚫️ tcp.analysis.lost_segment
Потерянные сегменты.

⚫️ tcp.analysis.duplicate_ack
Дубликаты ACK — признаки нестабильного канала.

⚫️ tcp.time_delta > 0.5
Пакеты, между которыми задержка > 500 мс.

⚫️ tcp.stream eq 5
Выбор конкретного TCP-потока.



🔐 2. Глубокое исследование TLS/SSL

⚫️ tls.record.version == 0x0303
Только TLS 1.2.

⚫️ tls.record.version == 0x0304
Только TLS 1.3.

⚫️ tls.handshake.type == 11
Сертификат сервера (Certificate).

⚫️ tls.app_data
Только зашифрованные TLS данные.

⚫️ tls.record.length > 1500
Аномально большие TLS-записи.



🛰 3. DNS - поиск аномалий, туннелей, ошибок

⚫️ dns.qry.name contains "api"
Запросы, содержащие “api”.

⚫️ dns.flags.rcode != 0
Ошибки DNS (NXDOMAIN, SERVFAIL и др).

⚫️ dns.qry.type == 16
TXT-запросы (часто используются в туннелях).

⚫️ dns.qry.name matches "[A-Za-z0-9]{40,}"
Подозрительно длинные запросы — признаки DNS exfiltration.



📡 4. HTTP/HTTP2/REST API низкоуровневый анализ

⚫️ http.request.full_uri contains "login"
Анализ обращений к логину.

⚫️ http.request.version == 2.0
HTTP/2 трафик.

⚫️ http.request.time > 1
Медленные HTTP-запросы (>1 сек).

⚫️ http.cookie contains "session"
Запросы с куками, содержащими session.



🧱 5. Поиск подозрительного или вредоносного трафика

⚫️ frame matches "([A-Za-z0-9+/]{200,}={0,2})"
Бейс64 блоки большого размера — признак утечки.

⚫️ tcp.flags.reset == 1
Пакеты с RST: агрессивное завершение соединений.

⚫️ ip.ttl < 5
Аномально маленький TTL (скрытые сети, туннели).

⚫️ tcp.port in {4444 1337 5555 31337}
Подозрительные порты, часто используемые RAT/ботнетами.



⚙️ 6. Универсальные фильтры для тонкого анализа

⚫️ tcp.segment.reassembled
Показать пакеты, собранные из фрагментов.

⚫️ tcp.reassembled.length > 5000
Большие данные после реассемблирования.

⚫️ eth.addr == aa:bb:cc:dd:ee:ff
Фильтр по MAC (полезно в VLAN).

⚫️ wlan.fc.type_subtype == 0x08
Beacon-фреймы Wi-Fi.

📲 Мы в MAX

👉 @i_odmin