Después de un año de desarrollo, se lanzó la nueva rama estable del analizador de red Wireshark 3.6. Recordemos que el proyecto originalmente se desarrolló bajo el nombre Ethereal, pero en 2006, debido a un conflicto con el propietario de la marca registrada Ethereal, los desarrolladores se vieron obligados a renombrar el proyecto a Wireshark. El código del proyecto se distribuye bajo la licencia GPLv2.
Novedades clave de Wireshark 3.6.0:
- Se han realizado cambios en la sintaxis de las reglas de filtrado de tráfico:
- Se agregó soporte para la sintaxis «a ~= b» o «a any_ne b» para seleccionar cualquier valor excepto uno.
- Se agregó soporte para la sintaxis «a not in b», equivalente a «not a in b».
- Se permite especificar cadenas de manera similar a las cadenas crudas en Python, sin necesidad de escapar caracteres especiales.
- La expresión «a != b» ahora siempre es equivalente a «!(a == b)» cuando se utiliza con valores que abarcan múltiples campos (por ejemplo, «ip.addr != 1.1.1.1» ahora es equivalente a «ip.src != 1.1.1.1 and ip.dst != 1.1.1.1»).
- Los elementos de las listas set ahora deben separarse solo por comas, prohibiéndose la separación por espacios (es decir, la regla ‘http.request.method in {«GET» «HEAD»}’ debe reemplazarse por ‘http.request.method in {«GET», «HEAD»}’).
- Para el tráfico TCP, se agregó el filtro tcp.completeness, que permite dividir flujos TCP según el estado de actividad de la conexión, es decir, se pueden identificar flujos TCP para los cuales se han intercambiado paquetes para establecer, transferir datos o cerrar la conexión.
- Se agregó la configuración «add_default_value», a través de la cual se pueden especificar valores predeterminados de campos Protobuf que no fueron serializados o se omitieron al capturar tráfico.
- Se agregó soporte para leer archivos con tráfico capturado en el formato ETW (Event Tracing for Windows). También se añadió un módulo de análisis (dissector) para paquetes DLT_ETW.
- Se agregó el modo «Follow DCCP stream», que permite filtrar y extraer contenido de flujos DCCP.
- Se agregó soporte para el análisis de paquetes RTP con datos de audio en formato OPUS.
- Se proporcionó la posibilidad de importar paquetes capturados desde volcado de texto en formato libpcap, estableciendo reglas de análisis basadas en expresiones regulares.
- Se ha reestructurado significativamente el reproductor de flujos RTP (Telephony > RTP > RTP Player), que ahora puede utilizarse para reproducir llamadas VoIP. Se ha añadido soporte para listas de reproducción, se ha mejorado la capacidad de respuesta de la interfaz, se ha proporcionado la opción de silenciar el sonido y cambiar de canal, y se ha añadido la opción de guardar los sonidos reproducidos en forma de archivos multicanal .au o .wav.
- Se han rediseñado los diálogos relacionados con VoIP (VoIP Calls, RTP Streams, RTP Analysis, RTP Player y SIP Flows), que ahora no son modales y se pueden abrir en segundo plano.
- Se ha añadido al diálogo "Follow Stream" la capacidad de seguimiento de llamadas SIP basado en el valor Call-ID. Se ha mejorado la claridad de la salida en formato YAML.
- Se ha implementado la posibilidad de reconstrucción de fragmentos de paquetes IP con diferentes IDs de VLAN.
- Se ha añadido un controlador para la reconstrucción de paquetes USB (Capa de Enlace USB), interceptados utilizando analizadores de hardware.
- En TShark se ha añadido la opción "—export-tls-session-keys" para exportar claves de sesión TLS.
- En el analizador de flujos RTP se ha modificado el diálogo de exportación en formato CSV.
- Se ha comenzado la creación de paquetes para sistemas basados en macOS con el chip ARM de Apple M1. En los paquetes para dispositivos Apple con chips Intel, se han aumentado los requisitos de la versión de macOS (10.13+). Se han añadido paquetes portátiles de 64 bits para Windows (PortableApps). Se ha añadido soporte inicial para la compilación de Wireshark para Windows, utilizando GCC y MinGW-w64.
- Se ha añadido soporte para la decodificación y captura de datos en formato BLF (Informatik Binary Log File).
- Se ha añadido soporte para los siguientes protocolos:
- Bluetooth Link Manager Protocol (BT LMP),
- Bundle Protocol version 7 (BPv7),
- Bundle Protocol version 7 Security (BPSec),
- CBOR Object Signing and Encryption (COSE),
- E2 Application Protocol (E2AP),
- Event Tracing for Windows (ETW),
- EXtreme extra Eth Header (EXEH),
- High-Performance Connectivity Tracer (HiPerConTracer),
- ISO 10681,
- Kerberos SPAKE,
- Linux psample protocol,
- Local Interconnect Network (LIN),
- Microsoft Task Scheduler Service,
- O-RAN E2AP,
- O-RAN fronthaul UC-plane (O-RAN),
- Opus Interactive Audio Codec (OPUS),
- PDU Transport Protocol, R09.x (R09),
- RDP Dynamic Channel Protocol (DRDYNVC),
- RDP Graphic pipeline channel Protocol (EGFX),
- RDP Multi-transport (RDPMT),
- Real-Time Publish-Subscribe Virtual Transport (RTPS-VT),
- Real-Time Publish-Subscribe Wire Protocol (processed) (RTPS-PROC),
- Shared Memory Communications (SMC),
- Signal PDU, SparkplugB,
- State Synchronization Protocol (SSyncP),
- Tagged Image File Format (TIFF),
- TP-Link Smart Home Protocol,
- UAVCAN DSDL,
- UAVCAN/CAN,
- UDP Remote Desktop Protocol (RDPUDP),
- Van Jacobson PPP compression (VJC),
- World of Warcraft World (WOWW),
- X2 xIRI payload (xIRI).
Fuente: opennet.ru
