Filtros de visualización útiles

Un filtro de visualización se escribe en la barra del analizador después de abrir el archivo y decide qué paquetes se muestran. El archivo no cambia: quitar el filtro devuelve todo. No hay que confundirlo con un filtro de captura, que se fija antes de grabar y decide qué paquetes llegan al archivo; lo que ese no deja pasar se pierde.

Los dos usan lenguajes distintos. Los campos de visualización tienen nombres con puntos (ip.addr, dns.flags.rcode) y los operadores se parecen a los de un lenguaje de programación.

Consulta filtros y mira la primera fila.

Los recuentos de la barra de filtro son una forma rápida de medir cuántas veces ocurrió algo. Una petición de envío en HTTP (método POST) es una de las pocas que lleva datos hacia el servidor, por eso conviene contarlas aparte.

Mira en filtros el que deja ver solo esas peticiones.

El campo dns.flags.rcode guarda el código de respuesta de una consulta de nombres. Cero es éxito; No such name (3) es un nombre que no existe y Server failure (2) es un servidor que no pudo contestar. Filtrar dns.flags.rcode != 0 deja ver solo las respuestas con error.

Los dos errores cuentan historias distintas. Varios nombres inexistentes seguidos de un mismo equipo parecen un programa probando nombres; un fallo del servidor es un problema del servicio, no de quien preguntó.

Consulta dns_con_error.

Todo intento de conexión TCP empieza con un paquete con la bandera de sincronización activada (SYN) y la de confirmación apagada. La respuesta del servidor lleva las dos activadas. Por eso, para contar intentos de conexión hay que pedir las dos condiciones: si se filtra solo por la primera, aparecen también las respuestas.

Contar los intentos por origen y por puerto de destino es la forma de ver un barrido: un mismo origen probando muchos puertos o muchos destinos.

El campo tls.handshake.extensions_server_name guarda el nombre de servidor que el cliente pide en el saludo de TLS, y tls.handshake.type == 1 deja ver solo los saludos de cliente. Añadir el nombre como columna convierte una lista de paquetes cifrados en una lista de sitios.

Es lo mismo que Zeek anota en ssl.log, sacado del propio paquete, y sirve cuando el sensor no estaba o cuando hay que comprobar el registro.