wireshark-forensics-plugin：一款功能强大的Wireshark网络取证分析插件

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-pH84FCA3-1690940221991)(https://image.3001.net/images/20220211/1644520258_62056342106d8f6529d0d.jpeg!small)]

wireshark-forensics-plugin介绍

毫无疑问，Wireshark是目前应用最为广泛的网络流量分析工具，无论是实时网络流量分析，还是信息安全取证分析，或是恶意软件分析，Wireshark都是必不可缺的利器。尽管Wireshark为协议解析和过滤提供了极其强大的功能，但它暂时还无法提供任何有关目标网络节点的上下文信息。对于一名安全分析人员来说，TA必须梳理大量的PCAP文件来识别恶意活动，这就有点像大海捞针了。

wireshark-forensics-
plugin是一个跨平台Wireshark插件，它能够将网络流量数据与威胁情报、资产分类和漏洞数据关联起来，以加速网络取证分析活动。该工具通过扩展Wireshark本地搜索过滤器来实现自身的功能，允许我们基于这些附加的上下文属性进行数据过滤。除此之外，该工具还可以处理PCAP文件并进行实时的流量捕捉。

工具功能

1、加载从MISP等威胁情报平台导出的恶意标识CSV，并将其与网络流量中的每个源/目标IP相关联。

根据IP范围到资产类型的映射加载资产分类信息，该映射能够过滤特定类型资产的传入/传出流量（例如，过滤“数据库服务器”、“员工笔记本电脑”等）。

2、将从Qualys/Nessus导出的漏洞扫描信息加载到CVE。

3、扩展本机Wireshark过滤器的功能，允许基于网络日志中每个源或目标IP地址的严重性、源、资产类型和CVE信息进行过滤。

工具使用

首先，我们需要使用下列命令将该项目源码克隆至本地：

git clone https://github.com/rjbhide/wireshark-forensics-plugin.git

项目中的data/formatted_reports目录包含三个文件：

asset_tags.csv：有关资产IP/域/CIDR和相关标签的信息，并提供了针对内网IP和DNS服务器的参考示例；

asset_vulnerabilities.csv：关于每项资产的CVE ID和最高CVSS评分的详细信息；

indicators.csv：入侵威胁指标IoC数据，包含属性类型、值、严重性和威胁类型；

上述的三个文件都可以手动编辑，或者可以使用导出的MISP和Tenable
Nessus扫描报告生成漏洞和指标文件。此时，需要将导出的文件放在以下指定了确切名称的文件夹下：

data/raw_reports/misp.csv：该文件可以通过以下路径从MISP导出：“Export->CSV_Sig->Generate then
Download”；

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-1kahkfY7-1690940221992)(https://image.3001.net/images/20220211/1644520302_6205636e1825df1dc33fc.png!small)]

data/raw_reports/nessus.csv：该文件可以通过Tenable Nessus接口导出；

接下来，选择“Options->Export as CSV->Select
All->Submit”，将下载下来的文件重命名为nessus.csv，然后拷贝至“raw_reports/nessus.csv”。

如果你打算从ThreatStream获取数据而不是MISP的话，则需要在config.json文件中提供用户名、API密钥和过滤器信息。每次你运行Python脚本时，工具都会尝试从ThreatStream获取最新的IoC并将其存储至data/formatted_reports/indicators.csv文件中。

如果你使用的是Windows系统，可以直接运行wft.exe，如果是macOS或Ubuntu的话，则需要运行“python
wtf.py”来安装和更新报告文件。脚本将会自动寻找Wireshark的安装路径。

安装完成之后，打开Wireshark，点击“Edit->Configuration
Profiles”，选择“wireshark_forensics_toolkit”：

现在，启动Wireshark，打开一个PCAP文件或开启实时数据捕捉：

可用的过滤器列表

wft.src.domain (使用以前的DNS流量进行源/域解析)

wft.src.detection (使用IOC数据进行源IP/域检测)

wft.src.severity (使用IOC数据的源IP/域检测漏洞严重性)

wft.src.threat_type (使用IOC数据的源IP/域检测威胁类型的严重性)

wft.src.tags (源IP/域资产标签)

wft.src.os (漏洞报告中指定的源IP/域操作系统)

wft.src.cve_ids (源IP/域的CVE ID列表，以逗号分隔)

wft.src.top_cvss_score (给定主机的所有CVE ID中的CVSS评分)

项目地址

wireshark-forensics-plugin： 【
GitHub传送门】

s-plugin：** 【
GitHub传送门】

网络安全学习路线

这是一份网络安全从零基础到进阶的学习路线大纲全览，小伙伴们记得点个收藏！

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-RsT0A6Js-1690940221995)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]编辑

阶段一：基础入门

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-4cFthe16-1690940221996)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

网络安全导论

渗透测试基础

网络基础

操作系统基础

Web安全基础

数据库基础

编程基础

CTF基础

该阶段学完即可年薪15w+

阶段二：技术进阶（到了这一步你才算入门）

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-kGGVi3wd-1690940221996)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

弱口令与口令爆破

XSS漏洞

CSRF漏洞

SSRF漏洞

XXE漏洞

SQL注入

任意文件操作漏洞

业务逻辑漏洞

该阶段学完年薪25w+

阶段三：高阶提升

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-qcqXprwc-1690940221997)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

反序列化漏洞

RCE

综合靶场实操项目

内网渗透

流量分析

日志分析

恶意代码分析

应急响应

实战训练

该阶段学完即可年薪30w+

阶段四：蓝队课程

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-57j3OqVm-1690940221998)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

蓝队基础

蓝队进阶

该部分主攻蓝队的防御，即更容易被大家理解的网络安全工程师。

攻防兼备，年薪收入可以达到40w+

阶段五：面试指南&阶段六：升级内容

需要上述路线图对应的网络安全配套视频、源码以及更多网络安全相关书籍&面试题等内容

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

同学们可以扫描下方二维码获取哦！