Nach einem Jahr Entwicklung wurde die neue stabile Version des Netzwerk-Analyseprogramms Wireshark 3.6 veröffentlicht. Ursprünglich wurde das Projekt unter dem Namen Ethereal entwickelt, jedoch mussten die Entwickler aufgrund eines Konflikts mit dem Inhaber der Marke Ethereal das Projekt im Jahr 2006 in Wireshark umbenennen. Der Code des Projekts wird unter der GPLv2-Lizenz verbreitet.
Wichtige Neuerungen in Wireshark 3.6.0:
- Änderungen an der Syntax der Traffic-Filtrierungsregeln wurden vorgenommen:
- Unterstützung für die Syntax «a ~= b» oder «a any_ne b» hinzugefügt, um beliebige Werte außer einem auszuwählen.
- Unterstützung für die Syntax «a not in b» hinzugefügt, die dem «not a in b» ähnelt.
- Die Angabe von Zeichenfolgen ist nun ähnlich wie bei rohen Zeichenfolgen in Python erlaubt, ohne dass Sonderzeichen escaped werden müssen.
- Der Ausdruck «a != b» ist jetzt immer gleichbedeutend mit «!(a == b)», wenn er mit Werten verwendet wird, die mehrere Felder abdecken («ip.addr != 1.1.1.1» ist nun gleichwertig mit «ip.src != 1.1.1.1 and ip.dst != 1.1.1.1»).
- Elemente von Set-Listen müssen jetzt nur durch Kommas getrennt werden, das Trennen durch Leerzeichen ist nicht erlaubt (d.h. die Regel ‘http.request.method in {«GET» «HEAD»}’ muss durch ‘http.request.method in {«GET», «HEAD»}’ ersetzt werden).
- Für TCP-Verkehr wurde der Filter tcp.completeness hinzugefügt, der es ermöglicht, TCP-Streams basierend auf dem Verbindungsstatus zu trennen, d. h. es können TCP-Streams identifiziert werden, für die ein Austausch von Paketen zur Einrichtung, Datenübertragung oder zum Abschluss der Verbindung stattgefunden hat.
- Die Einstellung „add_default_value“ wurde hinzugefügt, mit der Standardwerte für Protobuf-Felder angegeben werden können, die bei der Verkehrserfassung nicht serialisiert oder übersprungen wurden.
- Unterstützung zum Lesen von Dateien mit abgefangenem Verkehr im ETW-Format (Event Tracing for Windows) wurde hinzugefügt. Zudem wurde ein Dissector-Modul für DLT_ETW-Pakete eingeführt.
- Der Modus „Follow DCCP stream“ wurde hinzugefügt, der das Filtern und Extrahieren von Inhalten aus DCCP-Streams ermöglicht.
- Unterstützung für die Analyse von RTP-Paketen mit Audiodaten im OPUS-Format wurde bereitgestellt.
- Die Möglichkeit wurde geschaffen, abgefangene Pakete aus Text-Dumps im libpcap-Format zu importieren, wobei Regeln zur Analyse auf der Grundlage von regulären Ausdrücken festgelegt werden können.
- Der RTP-Stream-Player (Telephony > RTP > RTP Player) wurde erheblich überarbeitet und kann jetzt zur Wiedergabe von VoIP-Anrufen verwendet werden. Die Unterstützung für Wiedergabelisten wurde hinzugefügt, die Benutzeroberfläche wurde reaktionsfähiger gestaltet, und es gibt nun die Möglichkeit, den Ton stummzuschalten sowie zwischen Kanälen zu wechseln. Zusätzlich wurde eine Option zur Speicherung der wiedergegebenen Töne in Form von Mehrkanal-.au- oder .wav-Dateien hinzugefügt.
- Die Dialoge im Zusammenhang mit VoIP (VoIP Calls, RTP Streams, RTP Analysis, RTP Player und SIP Flows) wurden überarbeitet, sodass sie jetzt nicht mehr modal sind und im Hintergrund geöffnet werden können.
- Im Dialog „Follow Stream“ wurde die Möglichkeit hinzugefügt, SIP-Anrufe basierend auf dem Call-ID-Wert nachverfolgen zu können. Die Detaillierung der Ausgabe im YAML-Format wurde verbessert.
- Die Möglichkeit zur Rekonstruktion von Fragmenten von IP-Paketen mit unterschiedlichen VLAN-IDs wurde implementiert.
- Ein Handler zur Rekonstruktion von USB-Paketen (USB Link Layer), die von Hardware-Analysatoren aufgezeichnet wurden, wurde hinzugefügt.
- In TShark wurde die Option „—export-tls-session-keys“ zum Exportieren von TLS-Sitzungsschlüsseln hinzugefügt.
- Im RTP-Stream-Analyzer wurde der Exportdialog für das CSV-Format geändert.
- Die Paketerstellung für macOS-Systeme mit dem Apple M1 ARM-Chip hat begonnen. Für Apple-Geräte mit Intel-Chips gelten höhere Anforderungen an die macOS-Version (10.13+). Portable 64-Bit-Pakete für Windows (PortableApps) wurden hinzugefügt. Erstmals gibt es Unterstützung für den Windows-Build von Wireshark unter Verwendung von GCC und MinGW-w64.
- Unterstützung für das Decodieren und Erfassen von Daten im BLF-Format (Informatik Binary Log File) wurde hinzugefügt.
- Unterstützung für Protokolle hinzugefügt:
- Bluetooth Link Manager Protocol (BT LMP),
- Bundle-Protokollversion 7 (BPv7),
- Sicherheit des Bundle-Protokolls Version 7 (BPSec),
- CBOR-Objekt-Signierung und -Verschlüsselung (COSE),
- E2-Anwendungsprotokoll (E2AP),
- Ereignisverfolgung für Windows (ETW),
- EXtreme extra Eth-Header (EXEH),
- Hochleistungs-Konnektivitätstracer (HiPerConTracer),
- ISO 10681,
- Kerberos SPAKE,
- Linux psample-Protokoll,
- Local Interconnect Network (LIN),
- Microsoft Task Scheduler Service,
- O-RAN E2AP,
- O-RAN Fronthaul UC-Ebene (O-RAN),
- Opus Interaktiver Audio-Codec (OPUS),
- PDU-Transportprotokoll, R09.x (R09),
- RDP-Dynamischer Kanalprotokoll (DRDYNVC),
- RDP-Grafikpipeline-Kanalprotokoll (EGFX),
- RDP-Multi-Transport (RDPMT),
- Echtzeit-Publish-Subscribe-Virtual Transport (RTPS-VT),
- Echtzeit-Publish-Subscribe-Datenprotokoll (verarbeitet) (RTPS-PROC),
- Shared Memory Communications (SMC),
- Signal PDU, SparkplugB,
- State Synchronization Protocol (SSyncP),
- Tagged Image File Format (TIFF),
- TP-Link Smart Home Protocol,
- UAVCAN DSDL,
- UAVCAN/CAN,
- UDP Remote Desktop Protokoll (RDPUDP),
- Van Jacobson PPP-Kompression (VJC),
- World of Warcraft-Welt (WOWW),
- X2 xIRI-Payload (xIRI).
Quelle: opennet.ru
