와이어샤크(Wireshark)

캡쳐 필터 이름 (캡쳐 필터 구문)

Ethernet address 00:00:00:00:00:00 (ether host 00:00:00:00:00:00)

Ethernet type 0x0806 ( ether proto 0x0806)

No Broadcast and no Multicast ( not broadcast and not multicast)

No ARP ( not arp)

IP only (ip)

IP address 192.168.0.1 ( host 192.168.0.1)

IPX only (ipx)

TCP only (tcp)

UDP (udp)

TCP or UDP port 80 (port80)

HTTP TCP port (tcp port http)

No ARP and No DNS (not arp and port not 53)

Non -HTTP and non-SMTP fo/from www.wireshark.org

(not port 80 and not port 25 and host www.wireshark.org)

캡쳐 필터 : 식별자 + 한정자

식별자 : 필터링을 하는요소, 80번 포트로부터 트래픽에 대한 캡쳐필터에서 80은 식별자, 숫자나 이름이 될 수 있다.

한정자 : Type, Dir, Proto

*유형 한정자(Type) : 식별자가 참조하는 이름이나 번호의 유형을 가리킨다. 80번포트로부터 트래픽에 대한 캡쳐 필터네에서 포트는 유형한정자나. 호스트,네트워크,포트 3가지는 유형 한정자다.

*방향 한정자(Dir) : 방향 한정자는 관심있는 트래픽의 흐름을 표시하기 위해 사용한다. 일반적인 방향 한정자는 dst 와 src 이다.

*프로토콜 한정자(Proto) : 프로토콜 한정자는 TCP 와 UDP 같이 특별한 프로토콜에 캡쳐된 트래픽을 제한하기 위해 사용된다.

출저 : http://stih.tistory.com/5

트래픽 컬러링

관심있는 패킷을 지정해 강조하는 매우 효과적인 툴.
오류 상태, 네트워크 스캔과 침해된 호스트의 증거를 나타내는 패킷을 컬러링할 수 있다.

View -> Coloring Rules 에서 컬러링 규칙을 정의한다.