مراجعة أداة Wireshark: محلل الحزم الأول للمبتدئين

📌 سلسلة "دليل أدوات الأمن السيبراني":
📂 العودة إلي الدليل الشامل
📄 أنت الآن في: مراجعة Wireshark

🔍 المقدمة

هل تمنيتِ يوماً أن ترَيْ ما يحدث خلف كواليس شبكتك؟ أن تفهمي لماذا يتأخر تحميل صفحة معينة، أو كيف تكتشفين إذا كان هناك برنامج ضار يتصل بالإنترنت من دون علمك؟ Wireshark هي الأداة التي تمنحك هذه "النافذة السحرية" على عالم الشبكات.

Wireshark هي أداة مفتوحة المصدر لتحليل حزم الشبكة (Packet Analyzer)، وتُعتبر المعيار الذهبي في مجالها، حيث يستخدمها ملايين المحترفين حول العالم. ببساطة، هي "المجهر الرقمي" الذي يلتقط ويفحص كل جزء من البيانات التي تدخل وتخرج من جهازك عبر الشبكة.

تتميز Wireshark بأنها مجانية، وتعمل على جميع أنظمة التشغيل الرئيسية (Windows، macOS، Linux)، وتتمتع بواجهة رسومية قوية تجعل تحليل الحزم المعقدة ممكناً حتى للمبتدئين. الأهم من ذلك، أنها الأداة الثانية (بعد Nmap) التي يتعلمها أي طالب أمن سيبراني، لأنها تمنحك فهماً عميقاً لكيفية عمل البروتوكولات وتدفق البيانات.

⚙️ الوظيفة الرئيسية

الغرض الأساسي لـ Wireshark هو التقاط وتحليل حركة مرور الشبكة في الوقت الفعلي. بشكل أكثر تحديدًا، يمكنها القيام بالمهام التالية:

التقاط الحزم (Packet Capture): اعتراض وعرض جميع الحزم التي تمر عبر واجهة شبكة محددة (مثل Wi-Fi أو Ethernet).
التصفية (Filtering): عرض حزم محددة فقط باستخدام مرشحات قوية، مما يساعد على التركيز على ما يهمك (مثل عرض حركة HTTP فقط).
تحليل البروتوكولات (Protocol Analysis): تفكيك الحزم وعرض محتوياتها حسب طبقات النموذج المرجعي (OSI)، مما يسمح بفهم تفاصيل البروتوكولات مثل TCP، UDP، HTTP، DNS.
تتبع التدفق (Follow Stream): إعادة تجميع وتتبع محادثة كاملة بين طرفين (مثل جلسة HTTP أو FTP) لعرض البيانات المتبادلة بشكل readable.
استخراج الملفات (File Export): استخراج الملفات المنقولة عبر الشبكة (مثل الصور أو الملفات النصية) من الحزم الملتقطة.

🛠️ استخداماتها في الأمن السيبراني والاختبار الأخلاقي

تُستخدم Wireshark في عدة مراحل من العمل الأمني، وهي أداة لا غنى عنها لمحللي أمن المعلومات (SOC Analysts):

كشف التهديدات (Threat Detection): تستخدم لرصد الأنشطة المشبوهة مثل فحص المنافذ (Port Scanning)، أو هجمات رفض الخدمة (DoS)، أو التواصل مع خوادم القيادة والتحكم (C2).
التحقيق الجنائي الرقمي (DFIR): تحليل ملفات الالتقاط (PCAP) بعد وقوع الحادثة لجمع الأدلة، وفهم كيفية حدوث الاختراق، وتحديد نطاق الضرر.
تحليل الثغرات (Vulnerability Analysis): فحص حركة مرور التطبيقات للبحث عن بيانات غير مشفرة (مثل كلمات مرور FTP أو HTTP الأساسية).
التدقيق الأمني (Security Auditing): التأكد من أن سياسات الشبكة مطبقة بشكل صحيح، وأن التشفير (مثل TLS) يُستخدم في الأماكن الصحيحة.
استكشاف الأخطاء (Troubleshooting): تحديد أسباب بطء الشبكة، أو فقدان الحزم، أو مشاكل الاتصال.

🧩 الميزات الرئيسية للمبتدئين

ما يجعل Wireshark أداةً مثالية للبدء هي الميزات التالية:

واجهة رسومية سهلة: على عكس العديد من أدوات سطر الأوامر، توفر Wireshark واجهة مستخدم رسومية (GUI) منظمة تعرض الحزم في ثلاثة أقسام رئيسية: قائمة الحزم، تفاصيل الحزمة، والبيانات الخام.
مرشحات العرض (Display Filters): لغة مرشحات بسيطة وقوية. يمكنك كتابة http لعرض حركة الويب فقط، أو ip.addr == 192.168.1.1 لمشاهدة الحزم من وإلى عنوان IP محدد.
التلوين التلقائي: تقوم Wireshark بتلوين الحزم تلقائياً حسب نوع البروتوكول، مما يسهل التعرف على الأنماط المختلفة بسرعة.
مجاني ومفتوح المصدر: يمكن تحميله واستخدامه مجانًا على أي نظام.

🚀 كيف تبدأ باستخدام Wireshark كطالب؟

التثبيت:
- حمِّل المثبت من الموقع الرسمي wireshark.org.
- أثناء التثبيت على Windows، تأكدي من تثبيت مكون Npcap (وهو ضروري لالتقاط الحزم).
- على Linux، استخدمي مدير الحزم، مثلاً: sudo apt-get install wireshark.
أول التقاط:
- شغّلي Wireshark بصلاحيات المدير (Administrator/root) لتتمكني من التقاط الحزم على جميع الواجهات.
- اختاري واجهة الشبكة النشطة (مثل Wi-Fi أو Ethernet) واضغطي على زر "Start" (الزعنفة الخضراء) لبدء الالتقاط.
- ستبدأين برؤية تدفق للحزم في الوقت الفعلي.
أول مرشح (Display Filter):
- في شريط المرشحات (Display Filter) الموجود أعلى النافذة، اكتبي dns واضغطي Enter. ستلاحظين أن Wireshark يعرض فقط استعلامات DNS واستجاباتها.
- هذا يساعدك على فهم كيفية تحويل أسماء النطاقات إلى عناوين IP.

📊 جدول ملخص مرشحات Wireshark الأساسية

الغرض	المرشح	الشرح
عرض حركة HTTP	`http`	يعرض طلبات واستجابات HTTP
عرض حركة DNS	`dns`	يعرض استعلامات DNS واستجاباتها
حركة من/إلى IP محدد	`ip.addr == 192.168.1.1`	يعرض كل الحزم من/إلى هذا IP
حركة على منفذ محدد	`tcp.port == 443`	يعرض حركة HTTPS (المنفذ 443)
حزم SYN (محاولات اتصال جديدة)	`tcp.flags.syn == 1`	مفيد لاكتشاف فحص المنافذ (Port Scanning)
استعلامات DNS فاشلة	`dns.flags.rcode == 3`	يعرض استعلامات DNS التي أعادت NXDOMAIN (اسم النطاق غير موجود)، قد تشير لوجود برمجيات خبيثة

⚠️ تنبيه أخلاقي وقانوني

التقاط حزم الشبكة دون إذن صريح يُعد انتهاكاً للخصوصية وغير قانوني في معظم البلدان. الحزم قد تحتوي على معلومات حساسة مثل كلمات المرور والمحتوى الشخصي. استخدمي Wireshark حصراً في شبكاتك الخاصة، أو في مختبرات معتمدة، أو بعد الحصول على إذن كتابي واضح.

للتطبيق العملي الآمن، يُنصح بإنشاء مختبر افتراضي خاص بكِ (مثل استخدام VirtualBox وتثبيت Kali Linux كجهاز مهاجم و Metasploitable2 كجهاز هدف) لتطبيق ما تتعلمينه بأمان.

💬 دعوة للتفاعل

ما هو نوع حركة المرور الذي ترغب في تحليله باستخدام Wireshark؟ أو هل لديك سؤال حول كيفية استخدام أحد المرشحات؟ شاركينا في التعليقات! 😊

الكلمات المفتاحية المقترحة: Wireshark، تحليل الشبكات، Packet Analyzer، أمن سيبراني، مرشحات Wireshark، تحليل الحزم، PCAP.