Wireshark로 악성 트래픽 분석하는 팁

Wireshark 악성 트래픽 분석 팁:

1. 빠른 개요:

• Statistics → Endpoints — 통신 상대 목록 (이상한 외부 IP 확인)
• Statistics → Protocol Hierarchy — 프로토콜 비율 (비정상 프로토콜 확인)
• Statistics → Conversations — 대화량 많은 연결 확인

2. 의심 트래픽 필터:

# DNS 터널링 의심
dns.qry.name.len > 50

# 비표준 포트 HTTP
http && !(tcp.port == 80 || tcp.port == 443)

# 대량 데이터 전송
tcp.len > 1000 && ip.dst != 내부IP대역

# C2 비콘 (주기적 통신)
tcp.flags.syn == 1 && ip.dst == 의심IP

3. 유용한 기능:

• Follow TCP Stream — 전체 대화 내용 확인
• Export Objects → HTTP — 전송된 파일 추출
• Coloring Rules — 의심 패턴에 색상 지정