🐹 Mustafa ile Öğreniyorum #16: Papatya Çayından Bir Yudum Al ve Dinle (Ağın Dijital Röntgeni: Wireshark ile Paket Analizi ve Paket Dinleme 101) Selamlar değerli topluluk üyeleri ve siber güvenlik meraklıları! Ağınızda tam olarak nelerin aktığını bilmeden bir sistemi koruyamazsınız. Bir web sitesine tıkladığınızda veya bir dosyayı indirdiğinizde, veriler ağ kabloları ve kablosuz sinyaller üzerinden küçük paketler (packets) halinde taşınır. Bugün, SOC (Güvenlik Operasyon Merkezi) analistlerinin ve ağ uzmanlarının en güçlü ve yaygın analiz araçlarından biri olan Wireshark ile paket analizi ve ağ dinleme (sniffing) dünyasına adım atıyoruz! 🧠 1. Paket Dinleme (Sniffing) Nedir? Şifresiz Veri Tehlikesi Ağ kartınız normalde sadece kendi bilgisayarınıza gelen paketleri okur. Promiscuous Mode etkinleştirildiğinde ise ağ kartı kendisine ulaşan paketleri hedef MAC adresine bakmaksızın yakalama yazılımına iletebilir. Ancak switch kullanılan modern ağlarda bu, ağdaki tüm cihazların trafiğini otomatik olarak görebileceğiniz anlamına gelmez. Açık Metin (Cleartext) Kabusu: HTTPS, SSH veya SFTP gibi şifreli protokoller yerine HTTP, FTP, Telnet veya POP3 gibi şifrelenmemiş protokoller kullanıldığında ciddi bir güvenlik riski oluşur. Bu trafik uygun ağ konumundan yakalanabildiğinde kullanıcı adları, parolalar, oturum çerezleri (cookies) ve diğer hassas içerikler Wireshark gibi araçlarla açık metin olarak görülebilir. Follow TCP Stream: Wireshark'ta yakalanan bir TCP paketine sağ tıklayıp “Follow → TCP Stream” seçeneğini kullandığınızda, aynı TCP bağlantısına ait veri akışını tek bir pencerede inceleyebilirsiniz. Şifrelenmemiş protokollerde uygulama verileri okunabilir biçimde karşınıza çıkabilir. ****** 🔍 2. SOC Analistinin Can Simidi: Wireshark Filtreleri (Display Filters) Saniyede binlerce paketin aktığı canlı bir ağda aradığınızı bulmak samanlıkta iğne aramaya benzer. Bir analistin hayatını kurtaran en kritik Wireshark filtreleri şunlardır: // 1. Belirli bir IP adresinin tüm trafiğini inceleme ip.addr == 192.168.1.100 // 2. Sadece web isteklerinde form gönderimlerini (Login/Şifre denemeleri) yakalama http.request.method == "POST" // 3. Şüpheli DNS sorgularını ve alan adlarını filtreleme dns.flags.response == 0 // 4. Belirli bir port üzerindeki trafiği süzme (Örn: HTTP - Port 80) tcp.port == 80 // 5. Paket içeriklerinde doğrudan kelime arama (Örn: "password" geçen paketler) frame contains "password" ****** 📊 Hızlı Karşılaştırma: Şifreli vs. Şifresiz Trafik Analizi -Şifresiz (Cleartext) Protokoller (HTTP, FTP, Telnet, POP3) -Wireshark Durumu: Parolalar ve içerik açık metin olarak görünür. -Risk Düzeyi: 🔴 Kritik (Man-in-the-Middle riski) *Şifreli (Encrypted) Protokoller (HTTPS/TLS, SSH, SFTP) *Wireshark Durumu: Uygulama verisinin içeriği şifrelenmiştir; ancak kaynak/hedef IP adresleri, portlar, paket boyutları, zamanlama ve bazı bağlantı metadata'ları gözlemlenebilir. *Risk Düzeyi: 🟢 Düşük (Gizlilik korunur) O zaman Mustafa soruyor: Şirket ağınızda veya laboratuvar ortamınızda Wireshark ile paket analizi yaparken en çok hangi filtreleri kullanıyorsunuz? Ağınızda hâlâ şifresiz (HTTP/FTP/Telnet) trafik dönen eski sistemler veya IP kameralar var mı? Düşüncelerinizi yorumlarda paylaşın! 👇 Okuduğunuz için teşekkürler! Kendinize, verilerinize ve dijital zırhınıza çok iyi bakın! 🌼