HER · Herramienta Marcos y herramientas transversales

Wireshark (análisis defensivo)

Uso de Wireshark para defender una red: encontrar tráfico sospechoso, protocolos sin cifrar, escaneos y comunicaciones extrañas en capturas propias y autorizadas.

¿Qué es?

Wireshark es el programa que captura y muestra los paquetes que pasan por una red. En ciberseguridad defensiva se usa para ver con tus propios ojos lo que está pasando: si alguien envía contraseñas sin cifrar, si un equipo se comunica con un servidor extraño o si están escaneando la red.

Las bitácoras te cuentan lo que los sistemas decidieron registrar; Wireshark te muestra la conversación completa.

En términos técnicos

  • Es un analizador de protocolos libre y gratuito (en el área de Redes está su ficha de uso general: captura, filtros y estadísticas).
  • En seguridad se usa para:
    • Comprobar que los protocolos van cifrados.
    • Investigar alertas de un IDS o EDR («¿qué hizo realmente este equipo?»).
    • Buscar indicadores de compromiso en el tráfico.
    • Aprender cómo se ven los ataques comunes en un laboratorio.
  • Las capturas se guardan en .pcapng para analizarlas después o compartirlas con un especialista.

¿Dónde lo vas a encontrar?

En los equipos de respuesta a incidentes, en los SOC (junto con sensores que graban tráfico de forma continua), en la investigación de problemas de seguridad de la red y en los laboratorios de formación.

¿Por qué importa?

Un caso verosímil

Al revisar una captura del laboratorio, el docente aplica el filtro ftp y ve el usuario y la contraseña del servidor de prácticas en texto claro. Los alumnos llevaban meses subiendo sus proyectos así. Cualquiera conectado a la misma red Wi-Fi abierta podía haberlas visto.

Qué se perdió

  • Nada grave, porque se detectó en el laboratorio. En una red real, esas credenciales habrían permitido entrar al servidor.

Qué se hizo

Se cambió el servidor a SFTP y se usó la misma captura como ejemplo en clase: la diferencia entre ver la contraseña y ver solo datos cifrados convence más que cualquier explicación.

¿Cómo se aplica?

Qué buscar y con qué filtro

Qué buscas Filtro de visualización Qué indica
Protocolos sin cifrar ftp or telnet or http or pop or imap Credenciales y datos que viajan en claro
Contraseñas FTP ftp.request.command == "PASS" Prueba de por qué FTP es inseguro
Escaneo de puertos tcp.flags.syn == 1 && tcp.flags.ack == 0 Muchos SYN de una IP a muchos puertos
IP duplicada o ARP sospechoso arp.duplicate-address-detected Conflicto de IP o posible envenenamiento ARP
Consultas DNS raras dns.qry.name contains "xyz" · dns.flags.rcode == 3 Dominios extraños o muchos que no existen
Envíos de formularios http.request.method == "POST" Datos que se envían a un sitio (sin HTTPS, se ven)
Sitios visitados por HTTPS tls.handshake.extensions_server_name El nombre del sitio (SNI) aunque el contenido esté cifrado
Errores y anomalías TCP tcp.analysis.flags Retransmisiones, reinicios, ventanas llenas

Señales de que algo no está bien

Señal Cómo se ve
Comunicación periódica (beaconing) Un equipo se conecta al mismo destino cada X minutos, día y noche
Volumen de salida inusual Estadísticas → Conversaciones: un equipo interno envía mucho más de lo normal
Destinos inesperados Estadísticas → Puntos finales: IP o países que nadie reconoce
Protocolos donde no deberían estar SMB o RDP hacia Internet

Por nivel

Nivel Cómo aplicarlo
Persona Aprender en tu propia red qué protocolos usan tus equipos
Escuela Capturas en el laboratorio para enseñar protocolos seguros e inseguros; revisión puntual de la red administrativa ante una alerta
Empresa Sensores de captura continua (Zeek, Security Onion), análisis en la respuesta a incidentes, procedimientos de manejo de capturas

Relación con NIST CSF 2.0

Función Categoría Relación
Detectar (DE) DE.CM — Continuous Monitoring Las redes se monitorean para encontrar eventos adversos
Detectar (DE) DE.AE — Adverse Event Analysis Las capturas ayudan a analizar alertas
Responder (RS) RS.AN — Incident Analysis El tráfico capturado es evidencia del incidente
Proteger (PR) PR.DS — Data Security Comprueba que los datos en tránsito van cifrados

MITRE ATT&CK: el análisis de tráfico ayuda a detectar técnicas de mando y control (p. ej. T1071 — Application Layer Protocol) y de exfiltración.

Para tomar en cuenta

  • Autorización primero, siempre por escrito en redes que no son tuyas.
  • Las capturas son información sensible: guárdalas cifradas y bórralas cuando ya no se necesiten.
  • Anonimiza antes de compartir capturas para clases o foros (herramientas como TraceWrangler).
  • El tráfico cifrado no se lee: concéntrate en metadatos (quién, a dónde, cuándo, cuánto).
  • En un switch solo ves tu propio tráfico; para ver otros equipos se necesita SPAN o un TAP autorizado.

Material descargable

Aún no hay material descargable para este tema. Pronto habrá cuadernillos, manuales o laboratorios.

Referencias

Antes conviene ver…

Relacionado con…

© solutions_ · Ciberseguridad · 46 Wireshark (análisis defensivo)