面向网络工程师准备数据包证据的 PCAP 编辑常见问题解答

本常见问题解答回答了网络工程师、SOC 分析师、QA 团队和支持工程师在准备用于证据、夹具或客户交接的数据包捕获时的实际问题。它与数据包捕获修复和清理工作流程相配合。

Wireshark 可以编辑 PCAP 文件吗？

Wireshark 在检查、过滤和分析方面非常出色。它不是一个专注的可视化 PCAP 编辑工作流程。当您需要检查数据包、预览更改、修复校验和、清理值、分割捕获并导出更清晰的文件时，请使用 PCAP Surgery。

editcap 什么时候够用？

当转换是已知且可脚本化的时候，editcap 就足够了：使用命令行标志分割、转换、修剪或调整捕获。当您需要通过先检查证据来决定更改什么时，请使用 PCAP Surgery。

TraceWrangler 什么时候是更好的选择？

当整个工作是专门的匿名化并且团队已经有一个受信任的编辑流程时，TraceWrangler 可能是更好的选择。当编辑是更广泛的检查、修复、分割和导出工作流程的一部分时，请使用 PCAP Surgery。

如何安全地清理数据包捕获？

首先确定哪些内容不能离开组织：IP 地址、主机名、有效负载、DNS 名称、HTTP 字段、TLS SNI 和客户标识符。然后保留序列、时序、协议上下文和故障边界。阅读匿名化和清理 PCAP 文件。

校验和错误是否总应该被修复？

不。一些校验和警告是捕获机器的卸载伪影，而不是损坏的数据包。首先使用 PCAP 校验和错误不总是坏数据包 检查上下文。仅当导出文件需要修正证据时才进行修复。

如何在不丢失故事的情况下分割大型 PCAP？

保留证明问题的数据包：握手、DNS 查找、TLS 协商、应用程序请求、重传、重置或时序缺口。在导出较小的案例之前，使用分割大型 PCAP 并提取一个会话。

PCAPNG 在编辑方面与 PCAP 不同吗？

是的。PCAPNG 可以携带接口元数据、时间戳分辨率、注释和多个捕获源。经典 PCAP 更简单。在转换或编辑文件之前，请阅读 PCAPNG 与 PCAP 格式元数据。

我应该从哪里开始？

从数据包捕获修复和清理工作流程开始，然后阅读 PCAP Surgery 概述帮助。从 PCAP Surgery 下载 安装，或浏览 PCAP Surgery 博客索引。