Filtros de captura y filtros de visualización

El filtro de captura se escribe antes de grabar y usa la sintaxis de libpcap (la misma de tcpdump): palabras como host, port, net y operadores and, or, not. Se aplica en el propio punto de escucha y sirve para guardar menos: por ejemplo, solo un servidor y un puerto. Lo que no cumple el filtro nunca llega al disco.

El filtro de visualización se escribe después, sobre el archivo ya hecho, y usa los campos que Wireshark conoce de cada protocolo: ip.addr, tcp.port, dns, http.request. Con él se mira una parte del archivo sin tocar el resto. Se reconoce por la forma de los nombres: los campos llevan puntos.

Un filtro de visualización se cambia las veces que haga falta: el archivo no se toca. Un filtro de captura no se puede deshacer: si el archivo se grabó con él, lo que dejó fuera no está. Por eso en un encargo se captura con el filtro más estrecho que la pregunta permita, pero sabiendo que una pregunta nueva puede exigir una captura nueva. Y una captura nueva se hace dentro de la ventana de la carta, no cuando a uno se le ocurre.

El filtro de visualización de un equipo, ip.addr == dirección, muestra los paquetes en los que esa dirección es origen o destino: ida y vuelta, no solo lo que envió. Es lo primero que se hace al investigar un puesto concreto. La consola reproduce ese filtro con una consulta que acepta ambos sentidos.

Revisa todo lo que envió o recibió el puesto 10.74.10.31 y cuenta los paquetes.

El DNS es un buen filtro de partida porque cada conexión empieza con él. Una consulta que recibe como respuesta «no existe» (NXDOMAIN) indica un nombre al que algo todavía intenta llegar: una configuración vieja, un servicio dado de baja o un error de escritura. No es un hallazgo por sí solo, pero es una pregunta que se le hace al cliente.

Filtra el protocolo DNS y mira las respuestas.