Lab 1.2: Observar el Tráfico de Red con Wireshark
Objetivos de Aprendizaje
Al final de este laboratorio, usted será capaz de:
- Instalar y configurar Wireshark
- Capturar tráfico de red en tiempo real
- Filtrar los paquetes para aislar lo que le interesa
- Comprender los protocolos de red básicos (TCP, UDP, DNS, HTTP)
- Analizar una comunicación de red simple
Duración Estimada
45 minutos
Prerrequisitos
- Lab 1.1 completado
- Derechos de administrador en su computadora
- Conexión a Internet activa
Contexto Profesional
Wireshark es la herramienta de análisis de tráfico de red más utilizada en el mundo por los profesionales de TI. Permite:
- Diagnosticar problemas de red complejos
- Analizar el rendimiento de la red
- Comprender el comportamiento de las aplicaciones
- Detectar anomalías de seguridad
- Validar la configuración de red
Parte 1: Instalación de Wireshark
Paso 1.1: Descarga
- Visite: https://www.wireshark.org/download.html
- Descargue la versión Windows Installer (64-bit)
- Ejecute el archivo de instalación
Paso 1.2: Instalación
Parámetros de instalación recomendados:
- Acepte todas las opciones por defecto
- IMPORTANTE: Instale Npcap cuando se le solicite (necesario para capturar los paquetes)
- Marque la opción "Install Npcap in WinPcap API-compatible mode" si se le solicita
Paso 1.3: Primer Inicio
- Inicie Wireshark (como administrador si se le solicita)
- Debería ver la lista de sus interfaces de red
- Identifique la interfaz que tiene tráfico (gráfico con picos)
Preguntas:
- ¿Cuántas interfaces de red están listadas?
- ¿Cuál muestra actividad?
Parte 2: Primera Captura
Paso 2.1: Iniciar una Captura
- Haga doble clic en su interfaz de red activa (generalmente Ethernet o Wi-Fi)
- Wireshark comienza inmediatamente a capturar los paquetes
- Verá líneas desplazándose rápidamente
Observe:
- Cada línea = un paquete de red
- Diferentes colores = diferentes tipos de protocolos
- Las columnas muestran: Time, Source, Destination, Protocol, Info
Paso 2.2: Generar Tráfico Simple
Mantenga Wireshark abierto y en la línea de comandos:
Ejecute:
ping google.com -n 4
En Wireshark:
- Debería ver aparecer paquetes ICMP
- Busque las líneas con "Echo (ping) request" y "Echo (ping) reply"
Paso 2.3: Detener la Captura
Haga clic en el botón cuadrado rojo (Stop) en la barra de herramientas.
Preguntas: 3. ¿Cuántos paquetes ha capturado en total? 4. ¿Puede identificar los 4 pings que envió?
Parte 3: Filtrado de Paquetes
Probablemente ha capturado cientos o miles de paquetes. Los filtros permiten ver únicamente lo que le interesa.
Paso 3.1: Filtro ICMP (Ping)
En la barra de filtro (arriba), escriba:
icmp
Presione Enter. ¡Ahora solo ve los paquetes de ping!
Observe:
- Las solicitudes (request) de su computadora hacia google.com
- Las respuestas (reply) de google.com hacia usted
Paso 3.2: Filtro por Dirección IP
Para ver todo el tráfico hacia/desde una dirección IP específica:
ip.addr == 8.8.8.8
(Reemplace por la IP de google.com encontrada en su captura)
Paso 3.3: Borrar un Filtro
Haga clic en la X a la derecha de la barra de filtro para ver todos los paquetes nuevamente.
Parte 4: Captura y Análisis DNS
El DNS traduce los nombres de dominio (google.com) en direcciones IP.
Paso 4.1: Nueva Captura DNS
- Borre la captura actual: Archivo → Cerrar
- Inicie una nueva captura
- Aplique inmediatamente el filtro:
dns
Paso 4.2: Generar Tráfico DNS
En la línea de comandos:
Ejecute:
nslookup facebook.com
nslookup youtube.com
nslookup wikipedia.org
Paso 4.3: Analizar las Solicitudes DNS
En Wireshark, seleccione un paquete DNS "Standard query"
En el panel inferior, expanda:
- Domain Name System (query)
- Queries
- Observe el "Name" solicitado
- Queries
Seleccione ahora un paquete "Standard query response"
Expanda:
- Domain Name System (response)
- Answers
- ¡Verá la dirección IP devuelta!
- Answers
Preguntas: 5. ¿Cuál es la dirección IP de facebook.com? 6. ¿Cuál es el servidor DNS que su computadora consulta? (vea la columna Destination) 7. ¿Cuánto tiempo tomó la solicitud DNS? (vea la columna Time)
Parte 5: Captura HTTP (Tráfico Web)
Paso 5.1: Configuración
- Nueva captura
- Filtro:
http
Paso 5.2: Generar Tráfico HTTP
IMPORTANTE: Debe visitar un sitio en HTTP (no seguro) para ver el contenido.
Visite en su navegador:
Paso 5.3: Análisis de una Solicitud HTTP
Seleccione una línea "GET" (solicitud HTTP)
En el panel detallado, expanda:
- Hypertext Transfer Protocol
- Verá la solicitud completa
- Los headers (User-Agent, Host, etc.)
Preguntas: 8. ¿Cuál es el User-Agent de su navegador? 9. ¿Qué información es visible en claro en la solicitud HTTP? 10. ¿Por qué HTTPS es más seguro? (pista: repita con https://google.com y observe la diferencia)
Parte 6: Análisis de una Comunicación Completa
Paso 6.1: Three-Way Handshake TCP
El protocolo TCP establece una conexión antes de transmitir datos.
- Nueva captura con filtro:
tcp - Visite: http://example.com
- Detenga la captura
Busque los 3 primeros paquetes hacia el servidor (puerto 80):
- Paquete 1: [SYN] - Su computadora solicita una conexión
- Paquete 2: [SYN, ACK] - El servidor acepta
- Paquete 3: [ACK] - Su computadora confirma
Preguntas: 11. ¿Encuentra el three-way handshake en su captura? 12. ¿Cuáles son los números de secuencia (Seq) y de acuse de recibo (Ack)?
Paso 6.2: Follow TCP Stream
Para ver toda la conversación:
- Clic derecho en un paquete HTTP
- Follow → TCP Stream
- ¡Se abre una nueva ventana con toda la conversación en claro!
Observe:
- En rojo: Lo que usted ha enviado
- En azul: Lo que el servidor ha respondido
- ¡Todo el contenido HTML es visible!
Parte 7: Ejercicios Prácticos
Ejercicio 7.1: Comparación HTTP vs HTTPS
Tarea:
- Capture el tráfico hacia http://neverssl.com
- Capture el tráfico hacia https://google.com
- Intente hacer "Follow TCP Stream" en ambos
Pregunta: 13. ¿Qué puede ver en HTTP que no puede ver en HTTPS?
Ejercicio 7.2: Identificación de Protocolos
Visite diferentes sitios e identifique los protocolos utilizados:
Sitios para probar:
- https://youtube.com (busque los protocolos QUIC o HTTP/2)
- Inicie una actualización de Windows (protocolos Microsoft)
- Abra Discord o Teams (WebRTC)
Preguntas: 14. ¿Qué nuevos protocolos ha descubierto? 15. ¿Cuántas conexiones TCP se establecen cuando visita youtube.com?
Ejercicio 7.3: Diagnóstico de Problema
Simule un problema de red:
- Inicie una captura
- Haga ping a una dirección que no existe:
ping 1.2.3.4 -n 2 - Analice la captura
Preguntas: 16. ¿Ve paquetes ICMP "Destination unreachable"? 17. ¿Quién envía estos mensajes? (vea la columna Source)
Parte 8: Estadísticas de Red
Wireshark ofrece herramientas de análisis potentes.
Paso 8.1: Jerarquía de Protocolos
Menú: Estadísticas → Jerarquía de protocolos
Esto muestra la distribución de todos los protocolos capturados.
Preguntas: 18. ¿Qué protocolo representa el mayor porcentaje de su tráfico? 19. ¿Qué porcentaje es tráfico cifrado (TLS)?
Paso 8.2: Conversaciones
Menú: Estadísticas → Conversaciones
Pestaña IPv4: Muestra todas las conversaciones entre direcciones IP.
Preguntas: 20. ¿Con qué dirección IP ha intercambiado más datos? 21. ¿Cuántas conversaciones diferentes ha establecido?
Paso 8.3: Endpoints
Menú: Estadísticas → Endpoints
Lista todas las direcciones IP que han comunicado.
Entregables
A entregar:
-
Archivo de captura Wireshark (.pcapng) que contenga:
- Paquetes ICMP (ping)
- Solicitudes DNS
- Tráfico HTTP
-
Documento de respuestas (Word/PDF) con:
- Respuestas a las 21 preguntas
- 3 capturas de pantalla:
- Captura con filtro ICMP
- Captura de solicitud DNS con detalles
- "Follow TCP Stream" de una solicitud HTTP
-
Análisis comparativo HTTP vs HTTPS (1 página):
- Lo que puede ver en HTTP
- Lo que está oculto en HTTPS
- Por qué es importante para la seguridad
Criterios de Evaluación
| Criterio | Puntos |
|---|---|
| Archivo de captura que contenga todos los tipos de tráfico solicitados | 25% |
| Respuestas a las preguntas (comprensión de los protocolos) | 35% |
| Capturas de pantalla pertinentes y anotadas | 20% |
| Análisis comparativo HTTP/HTTPS | 15% |
| Calidad de la documentación | 5% |
Filtros de Referencia para Wireshark
| Filtro | Descripción | Ejemplo |
|---|---|---|
icmp | Todos los paquetes de ping | icmp |
dns | Todas las solicitudes DNS | dns |
http | Tráfico web no cifrado | http |
tcp | Todos los paquetes TCP | tcp |
udp | Todos los paquetes UDP | udp |
ip.addr == X | Tráfico hacia/desde una IP | ip.addr == 8.8.8.8 |
tcp.port == X | Tráfico en un puerto TCP | tcp.port == 80 |
ip.src == X | Paquetes provenientes de una IP | ip.src == 192.168.1.1 |
ip.dst == X | Paquetes hacia una IP | ip.dst == 8.8.8.8 |
http.request.method == "GET" | Solicitudes HTTP GET | http.request.method == "GET" |
dns.qry.name contains "google" | Solicitudes DNS que contienen "google" | dns.qry.name contains "google" |
Atajos de Teclado Útiles
| Atajo | Acción |
|---|---|
Ctrl + E | Iniciar/Detener captura |
Ctrl + K | Opciones de captura |
Ctrl + W | Cerrar captura |
Ctrl + F | Buscar un paquete |
Ctrl + G | Ir al paquete N |
Ctrl + R | Recargar el archivo |
Solución de Problemas
Problema: "Couldn't run /usr/bin/dumpcap"
Solución: Wireshark no tiene los permisos necesarios.
- Reinicie Wireshark como administrador (clic derecho → Ejecutar como administrador)
Problema: No aparece ninguna interfaz
Solución: Npcap no está instalado correctamente.
- Reinstale Wireshark y asegúrese de instalar Npcap
Problema: "The capture session could not be initiated"
Solución:
- Otra aplicación podría estar usando la interfaz de red
- Cierre los VPN y otras herramientas de red
- Reinicie su computadora
Problema: Demasiados paquetes, difícil ver lo que me interesa
Solución:
- ¡Utilice los filtros!
- Detenga las aplicaciones que generan tráfico (actualizaciones, sincronización en la nube, etc.)
- Capture solo mientras genera el tráfico deseado
Ir Más Allá (Opcional)
Challenge 1: Identificar una Aplicación
Abra una aplicación (Discord, Spotify, Steam) e identifique:
- Los servidores con los que comunica
- Los protocolos utilizados
- La cantidad de datos intercambiados
Challenge 2: Análisis de Rendimiento
Mida el tiempo necesario para:
- Resolución DNS
- Establecimiento de conexión TCP
- Carga completa de una página web
Challenge 3: Protocolos Exóticos
Encuentre y documente 3 protocolos que no conocía antes de este laboratorio.
Recursos Adicionales
- Wireshark User Guide (Oficial)
- Wireshark Display Filters
- Wireshark Sample Captures
- Introducción a los protocolos de red
Próximos Pasos
En el próximo laboratorio, usted aprenderá a:
- Inventariar su sistema Windows en profundidad
- Identificar los procesos y servicios en ejecución
- Documentar la configuración de seguridad de su sistema
Notas Importantes
Ética y Legalidad:
Wireshark es una herramienta poderosa que puede capturar información sensible. Se aplican las siguientes reglas:
-
Capture únicamente:
- Su propio tráfico
- En redes de las que usted es propietario o administrador
- En el entorno de laboratorio proporcionado
-
NO capture NUNCA:
- El tráfico de otras personas sin su consentimiento explícito
- En redes públicas (cafetería, escuela, empresa) sin autorización escrita
- Con el objetivo de interceptar contraseñas o información confidencial
-
Responsabilidad profesional:
- Estas competencias se enseñan para el diagnóstico y análisis legítimo
- El uso indebido puede acarrear graves consecuencias legales
- Respete la privacidad y la propiedad intelectual de los demás
En caso de duda, siempre solicite permiso antes de capturar tráfico de red.