Contando o número de conexões em um arquivo pcap

Question

Qual ferramenta posso usar para obter uma contagem do número de conexões TCP e UDP dentro de um arquivo pcap?

    

Answer 1

Para conexões TCP, você pode obter uma boa aproximação contando os pacotes SYN-ACK .

tcpdump -nr trace.pcap 'tcp[tcpflags] & (tcp-syn|tcp-ack) = (tcp-syn|tcp-ack)' | wc -l

Para o UDP, não existe uma conexão, então primeiro você precisa definir o que deseja contar. Você pode contar quantos pares distintos de origem e destino estão presentes no arquivo. Este comando irá contar os pacotes em cada direção separadamente, então se cada "conexão" enviar pacotes em ambas as direções, você terá que dividir por dois.

tcpdump -nr trace.pcap 'udp' | cut -f2-5 -d' ' | sort -u | wc -l

Se você preferir uma ferramenta baseada em GUI, o Wireshark pode analisar as conexões TCP. Ele atribui um número a cada conexão TCP que encontra no arquivo, para que você possa simplesmente rolar até o final do arquivo e ver em que número a última conexão foi atribuída. (Você pode ter que verificar várias conexões, se elas estão sobrepostas e alguma outra conexão continua após o último pacote da conexão numerada mais alta.)

    

Answer 2

Wireshark pode fazer isso via Estatística → Conversas. O TShark pode fazê-lo via -q -z conv,tcp -r /path/to/capture.pcap e -q -z conv,udp -r /path/to/capture.pcap . Ntop também deve ser capaz de fazê-lo.