Фильтры захвата для сетевых анализаторов (tcpdump, Wireshark, Paketyzer)

[Ingtar]

Большое спасибо)

[hardex]

Кажется, уже поздно, но distance в английском языке никогда не употребляется как прилагательное. «Дистанционное» — remote.

[masterzp]

Вроде достаточно часто встречаемое прилагательное, даже википедия пользуется.
Но все может быть, тут не берусь утверждать однозначно)

[zorgzerg]

Внезапно WS обошел tcpdump… испытываю глубочайшее удивление

[navion]

Он первый в Гугле, поэтому даже на Винде его предпочитают netmon'у.

[PTPtupit]

так он гибче как анализатор… графики там строить можно, отчеты…

[grossws]

Возможно, автору стоило разделить опрос на две части: что используется для захвата, что для анализа.

У меня обычно для захвата (и в меньшей степени для анализа) используется tcpdump, который либо пишет в консоль, либо в файл, либо в pipe. А дальше wireshark для более подробного анализа на рабочей станции.

[Ovsiannikov]

Увы, это не работает, когда размер фала измеряется гигабайтами. wireshark — пытается всё засунуть в память :(

[grossws]

Обычно для этого и нужна фильтрация на уровне libpcap

[grossws]

Причем, никто не запрещает фильтровать записать большой и подробный дамп в pcap-формате, а потом фильтровать его tcpdump'ом для получения более компактных файлов, анализируемых wireshark'ом.

P. S. Кто-то сильно недовольный пробежался по всей ветке и, не пояснив свои минусы, слинял(

[morkot]

Ещё есть консольная утилита tshark от разработчиков wireshark.
P.S. восстановил статус кво.

[Intercepter]

неправда.

[masterzp]

Согласен. так было бы информативней

[naszar]

Поддержу. Часто там, где надо поймать траффик, гуя нет, а смотреть траффик хочется с комфортом. Еще есть cloudshark, избавляет, в некоторых случаях, от необходимости устанавливать wireshark.

[mihmig]

Пользуясь случаем спрошу:
Чем можно посмотреть протокол обмена MS SQL клиента и сервера (в случае, если доступа к серверу нет и встроенным средством мониторинга воспользоваться нет возможности)? Интересуют именно SQL-команды.
(нет, пароль не нужен — он известен и его может показать Cain&Abel)

[masterzp]

Я так понимаю все сильно зависит от того шифруются ли данные? Насколько мне известно MS SQL умеет шифровать. У вас происходит шифрование?

[rdntw]

мне бы было интересней посмотреть статистику кто именно пользуется анализаторами трафика.
администраторы/сетевые инженеры/ разработчики софта/ безопасники.
может кого-то упустил…

[masterzp]

Добавил) понятно, что например, программисты бывают разные, и далеко не всем нужны анализаторы, но тут можно детализировать до бесконечности, так что оставим пока так)

[masterzp]

А задачку так никто и не разобрал?)

[pavelsh]

Разобрал. Фильтр показывает tcp пакеты с/на порт 80, у которых payload не равен 0 (то есть несущих информацию)