Wireshark ile Şüpheli Ağ Trafiğini Analiz Etme: Sıfırdan Uygulamalı İnceleme

Giriş

Bir ağda problem yaşandığında veya şüpheli bir durum fark edildiğinde elimizdeki en değerli kaynaklardan biri ağ trafiğidir.

Bir cihazın hangi sunucularla haberleştiğini, hangi protokolleri kullandığını, DNS sorgularını, bağlantıların hangi portlara yapıldığını ve bazı durumlarda saldırı belirtilerini ağ paketlerinden anlayabiliriz.

Bu noktada en çok kullanılan araçlardan biri Wireshark'tır.

Wireshark'ı sadece "paket yakalama programı" olarak düşünmek yerine, ağ üzerinde gerçekleşen iletişimi inceleyebildiğimiz bir analiz aracı olarak düşünmek daha doğru olacaktır.

Bu yazıda temel seviyeden başlayarak Wireshark üzerinde şüpheli ağ trafiğini nasıl inceleyebileceğimize bakacağız.

1. Wireshark Nedir?

Wireshark, ağ arayüzlerinden geçen paketleri yakalayıp incelememizi sağlayan açık kaynaklı bir ağ protokol analiz aracıdır.

Bir paket içerisinde örneğin;

• Kaynak IP
• Hedef IP
• Kaynak port
• Hedef port
• Kullanılan protokol
• Paket boyutu
• TCP bayrakları
• DNS sorguları

gibi birçok bilgi bulunabilir.

Ancak önemli bir nokta var:

Wireshark bize doğrudan "bu saldırıdır" demez.

Analistin görevi, paketler arasındaki ilişkiyi ve normal davranıştan sapmaları inceleyerek anlamlandırmaktır.

2. Paket Yakalamaya Başlamadan Önce

Wireshark'ı açtığımızda bilgisayarımızdaki ağ arayüzlerini görürüz.

Örneğin:

Ethernet
Wi-Fi
Loopback

Aktif olarak internete veya yerel ağa bağlı olduğumuz arayüzü seçerek paket yakalamaya başlayabiliriz.

İlk yakalamada çok fazla trafik görmek normaldir.

Bilgisayarımız aynı anda;

• DNS sorguları yapabilir,
• ARP paketleri gönderebilir,
• TCP bağlantıları kurabilir,
• HTTPS bağlantıları gerçekleştirebilir,
• Windows servisleriyle haberleşebilir.

Bu nedenle analiz sırasında filtre kullanmak oldukça önemlidir.

3. Önce Temel Paket Yapısını Anlayalım

Bir pakete tıkladığımızda Wireshark bize protokol katmanlarını gösterir.

Örneğin bir TCP paketi kabaca şu şekilde görülebilir:

Ethernet II
    Internet Protocol Version 4
        Transmission Control Protocol
            Application Data

Burada;

Ethernet: Yerel ağ seviyesindeki bilgileri,

IP: Kaynak ve hedef IP adreslerini,

TCP: Kaynak/hedef portları ve TCP bağlantısına ait bilgileri,

Application Data: Uygulama seviyesindeki veriyi

gösterir.

Bu katmanları okumaya alışmak Wireshark kullanımının temelidir.

4. IP Trafiğini İncelemek

Belirli bir IP adresinin trafiğine bakmak için display filter kullanabiliriz.

Örneğin:

ip.addr == 192.168.1.10

Bu filtre, kaynak veya hedef IP'si 192.168.1.10 olan IPv4 paketlerini gösterir.

Sadece kaynak IP'yi görmek istersek:

ip.src == 192.168.1.10

Sadece hedef IP'yi görmek istersek:

ip.dst == 192.168.1.10

Burada önemli olan nokta, filtrelerin saldırı tespitinden önce trafik haritasını çıkarmamıza yardımcı olmasıdır.

Örneğin bir bilgisayarın normalde iletişim kurmadığı bir IP adresiyle sürekli haberleştiğini görürsek bunu ayrıca incelemek isteyebiliriz.

5. DNS Trafiğini İncelemek

DNS, ağ analizinde özellikle önemlidir.

Çünkü bir cihaz internetteki bir alan adına erişmek istediğinde genellikle önce DNS çözümlemesi gerçekleştirir.

Wireshark'ta DNS trafiğini görmek için:

dns

filtresini kullanabiliriz.

Belirli bir alan adını aramak için:

dns.qry.name == "example.com"

Örneğin normal bir kullanıcı bilgisayarında;

google.com
microsoft.com
github.com

gibi alan adları görmek normal olabilir.

Ancak anlamsız görünen çok uzun domainler, olağandışı sorgu sıklığı veya sistemin normal davranışıyla uyuşmayan DNS istekleri ayrıca araştırılabilir.

Tek başına garip bir domain görmek saldırı olduğu anlamına gelmez.

6. ARP Trafiğini İncelemek

Yerel ağlarda cihazların IP adresleri ile MAC adresleri arasında eşleştirme yapılabilmesi için ARP kullanılır.

Wireshark'ta:

arp

filtresiyle ARP paketlerini görebiliriz.

Örneğin normal bir ARP isteği kabaca şu mantıktadır:

Who has 192.168.1.1?
Tell 192.168.1.20

Burada 192.168.1.20 adresindeki cihaz, 192.168.1.1 adresinin MAC adresini öğrenmeye çalışmaktadır.

ARP trafiğini incelerken aynı IP adresinin farklı MAC adresleriyle ilişkilendirilmesi gibi anormallikler dikkat çekebilir.

Bu durum bazı ağ problemlerinde de görülebileceğinden doğrudan "ARP spoofing var" sonucuna gitmek doğru değildir.

7. TCP Trafiğini İncelemek

TCP bağlantılarını incelemek için:

tcp

filtresini kullanabiliriz.

Belirli bir porta bakmak için:

tcp.port == 445

veya:

tcp.port == 443

kullanabiliriz.

Örneğin TCP bağlantısının başlangıcında genellikle üç aşamalı handshake görülür:

Client → Server : SYN
Server → Client : SYN, ACK
Client → Server : ACK

Bu mekanizmayı anlamak, Wireshark'ta TCP trafiğini yorumlamak için oldukça önemlidir.

8. Port Numaraları Neden Önemli?

Bir pakette port numarası gördüğümüzde bunun hangi servisle ilişkili olduğunu anlamak analizimizi kolaylaştırır.

Örneğin:

53   → DNS
80   → HTTP
443  → HTTPS
22   → SSH
25   → SMTP
445  → SMB
389  → LDAP
88   → Kerberos

Ancak burada önemli bir ayrıntı vardır:

Bir servisin belirli bir portu kullanması zorunlu değildir.

Örneğin bir saldırgan veya uygulama farklı bir port üzerinden servis çalıştırabilir.

Bu nedenle yalnızca port numarasına bakarak karar vermek yerine IP, protokol, paket içeriği ve bağlantının davranışını birlikte değerlendirmek gerekir.

9. SMB Trafiğine Bakmak

Özellikle Windows ağlarında SMB trafiği oldukça önemlidir.

Wireshark'ta:

smb

veya kullanılan SMB sürümüne göre:

smb2

filtresiyle ilgili trafiği inceleyebiliriz.

SMB üzerinden dosya paylaşımı, yazıcı paylaşımı ve çeşitli Windows ağ işlemleri gerçekleştirilebilir.

Bir cihazın ağdaki birçok sisteme SMB bağlantısı kurması her zaman saldırı anlamına gelmez.

Örneğin bir dosya sunucusuna erişen kullanıcı için bu tamamen normal olabilir.

Ancak bir istemcinin kısa süre içerisinde çok sayıda sisteme SMB bağlantısı kurması gibi davranışlar, özellikle başka göstergelerle birlikte değerlendirildiğinde araştırılması gereken bir durum olabilir.

10. LLMNR Trafiğini İncelemek

Windows ağlarında karşılaşabileceğimiz protokollerden biri de LLMNR'dir.

Wireshark'ta:

llmnr

filtresiyle LLMNR trafiğini görebiliriz.

Örneğin bir cihazın çözümleyemediği bir isim için ağ üzerinde sorgu göndermesi görülebilir.

Güvenlik açısından LLMNR, özellikle kurumsal Windows ağlarında incelenmesi gereken protokollerden biridir.

Burada amaç sadece protokolü görmek değil, ağdaki cihazların neden bu sorguları gönderdiğini anlamaktır.

11. Şüpheli Trafik Nasıl Anlaşılır?

Asıl önemli nokta burasıdır.

Bir paketin tek başına şüpheli görünmesi genellikle yeterli değildir.

Bunun yerine davranışa bakmak gerekir.

Örneğin aşağıdaki durumlar araştırılabilir:

Olağandışı bağlantılar

Bir istemcinin daha önce hiç iletişim kurmadığı bilinmeyen bir IP'ye sürekli bağlantı kurması.

Olağandışı portlar

Bir cihazın normal kullanımında bulunmayan servislerle bağlantı kurması.

Çok sayıda bağlantı

Kısa süre içerisinde çok sayıda farklı IP veya porta bağlantı kurulması.

Şüpheli DNS davranışı

Olağandışı domainlere veya aşırı sayıda DNS sorgusuna rastlanması.

ARP anomalileri

Aynı IP adresinin beklenmeyen MAC adresleriyle ilişkilendirilmesi.

Beklenmeyen protokoller

Ağın normal çalışma yapısında bulunmaması gereken protokollerin kullanılması.

Bunların hiçbiri tek başına saldırının kesin kanıtı değildir.

Analiz sırasında mümkün olduğunca birden fazla belirtiyi bir arada değerlendirmek gerekir.

12. Wireshark'ta Kullanışlı Filtreler

Başlangıçta aşağıdaki filtreler oldukça işimize yarar:

ip.addr == 192.168.1.10

Belirli IP ile ilişkili trafik.

ip.src == 192.168.1.10

Belirli kaynaktan çıkan trafik.

ip.dst == 192.168.1.10

Belirli hedefe giden trafik.

tcp

TCP trafiği.

udp

UDP trafiği.

dns

DNS trafiği.

arp

ARP trafiği.

tcp.port == 445

TCP 445 portu.

tcp.port == 443

TCP 443 portu.

icmp

ICMP trafiği.

http

HTTP trafiği.

Bu filtreleri ezberlemekten daha önemli olan şey, hangi durumda hangi filtreyi kullanacağımızı bilmektir.

13. Örnek Bir Analiz Senaryosu

Şimdi basit bir senaryo düşünelim.

Ağımızda:

192.168.1.10 → Kullanıcı bilgisayarı
192.168.1.1  → Gateway
192.168.1.20 → Dosya sunucusu

olsun.

Yakalama sırasında 192.168.1.10 adresinin birçok farklı bilgisayara TCP 445 bağlantısı kurduğunu fark ettik.

İlk olarak:

ip.addr == 192.168.1.10 && tcp.port == 445

filtresini kullanabiliriz.

Daha sonra bağlantıların hangi IP'lere yapıldığını inceleriz.

Ardından;

• Bağlantı sayısı
• Bağlantıların zaman aralığı
• Hedef sistemler
• SMB işlemleri
• Kullanıcının normal davranışı
• Diğer ağ trafiği

gibi bilgileri değerlendiririz.

Eğer bilgisayar normalde yalnızca dosya sunucusuna erişirken bir anda çok sayıda istemciye SMB bağlantısı kurmaya başladıysa bu davranışın nedenini araştırmak gerekir.

Burada önemli olan "SMB gördüm, saldırı var" demek değildir.

Şüpheli davranış → inceleme → bağlam → doğrulama

şeklinde ilerlemektir.

14. Wireshark Analizinde En Büyük Hata

Yeni başlayanların yaptığı en büyük hatalardan biri ekrandaki her paketi tek tek okumaya çalışmaktır.

Büyük bir ağda saniyeler içerisinde binlerce paket oluşabilir.

Bu nedenle analiz genellikle şu şekilde ilerlemelidir:

1. Trafiği yakala
        ↓
2. Genel durumu incele
        ↓
3. Şüpheli IP / protokol / port belirle
        ↓
4. Display filter kullan
        ↓
5. İletişimin detaylarını incele
        ↓
6. Gerekirse Follow TCP Stream kullan
        ↓
7. Davranışı diğer verilerle doğrula

Yani amaç binlerce paketi okumak değil, önemli olan paketleri bulmaktır.

15. Sonuç

Wireshark öğrenirken öncelikle bütün protokolleri ezberlemeye çalışmak yerine ağ iletişiminin temel mantığını anlamak daha faydalıdır.

Bir cihaz internete çıktığında ne yapıyor?

DNS nasıl çalışıyor?

TCP bağlantısı nasıl kuruluyor?

Bir istemci sunucuya hangi porttan bağlanıyor?

ARP neden kullanılıyor?

SMB veya LDAP gibi protokoller ağda neden bulunuyor?

Bu soruların cevaplarını öğrendikçe Wireshark ekranındaki paketler anlam kazanmaya başlar.

Son aşamada ise amaç sadece paketleri görmek değil, normal ağ davranışını öğrenip normalden sapmaları tespit edebilmektir.

Wireshark bu nedenle yalnızca bir paket analiz aracı değil, network ve blue-team tarafında çalışan bir kişinin ağın nasıl davrandığını anlaması için kullanabileceği en önemli araçlardan biridir.

Bir sonraki adım olarak kendi lab ortamınızda normal trafik yakalayıp daha sonra DNS, ARP, SMB ve LLMNR gibi protokolleri ayrı ayrı incelemek oldukça faydalı olacaktır.