패킷별 색상을 이용한 분석효율 높이기 두번째 이야기!

패킷 색깔 입히기에 추가로 몇 가지 기능들을 다뤄보겠다.

View -> Colorize Conversation 을 보면 Ctrl + 1 부터 Ctrl + 0 까지의 색깔이 있다. 말 그대로 패킷간 어떤 대화가 이뤄진 부분 즉, 통신이 이뤄진 (Request , Response) 부분에 대해서 색깔을 지정할 수 있다. 분석을 하다 패킷을 세부적으로 본다든가 연관된 패킷을 본다 할때 색상를 적용해 놓으면 패킷 중 어떤 것이 같은 형태의 대화인지도 쉽게 파악이 된다. 기본 Color 룰이 적용되어 있는 상태에서는 다른 색상의 것들과 혼돈되어 헷갈릴 수도 있기는 하다. 하지만 Coloring Rule 이 적용되어 있지 않은 경우라면 대화내용에 색깔을 적용하여 쉽게 파악이 가능하다. 또는 자기만의 Coloring Rule 을 만들어 최소화 시켜 놓은 상태에서 Colorize Conversation 을 사용해도 그 효과가 더욱 높아질 것이다.

초기화 시킬 때는 Reset Coloring 을 클릭하면 된다.

나만의 컬러를 적용하거나 또는 남들이 만들어 놓은 컬러를 적용하고 싶다면 Coloring Rules 에서 Manage 에 Import 와 Export 를 이용하면 된다. Export 는 현재의 컬러에 대해서 파일로 설정을 저장해 놓는 것이고, Import 는 다른 컬러 파일을 로드하는 것이다.  다음의 URL 에는 컬러설정 샘플 파일들이 있다.

http://wiki.wireshark.org/ColoringRules

Jay's_Coloring_Rules 를 적용해 보면 아래와 같은 색상을 얻을 수 있다.

[출처 : 와이어샤크 위키]

저장된 룰 파일을 열어 보면 아래와 같이 구성되어 있는데, 라인만 보면 대충 의미가 파악 될 것이다.

지정된 이름과 필터 그리고 색상 정보이다. (Foreground, Background)

# DO NOT EDIT THIS FILE!  It was created by Wireshark

!@Bad TCP@tcp.analysis.flags@[0,0,0][65535,24383,24383]

!@HTTP@http || tcp.port == 80@[36107,65535,32590][0,0,0]

기능은 본인이 계속 사용하면서 나만의 것으로 만들어 나가야 도구의 기능을 효율적으로 쓸 수 있는 법이다. 이 기능을 이용하여 어떻게 분석을 효과적으로 할 수 있을지, 또 만들어 나갈 수 있을지 고민하면 도구는 점점 나의 것으로 다가올 것이다.

/Rigel

와이어샤크 패킷에 색깔을 입혀보자

다음 이미지는 와이어샤크에서 패킷파일을 읽어들인 것이다. 그런데 평소 와이어샤크에서 보던 것과 다르지 않던가? 먼가 다양한 색깔로 표시되어 있던 것과는 사뭇 다른 느낌이다. 그만큼 각 패킷 별로 색깔을 주어 표시를 해주면 보기에도 쉽고 여러가지 면에서 도움이 많이 된다. 아래 그림은 일부러 와이어샤크의 Coloring Rule 기능을 제거해 본 것으로, 한눈에 쉽게 잘 들어와 보이지가 않는다. 어쩌면 우리는 이미 와이어샤크의 기능에 너무 익숙해져 있는 것일지도 모른다. :-)

와이어샤크의 View -> Coloring Rules 을 클릭해 보면 다음그림을 볼 수 있다. 이것은 기본으로 지정되어 있는 Default 칼러이다. 이것을 보면, 아! 왜 와이어샤크에서 패킷마다 색깔이 입혀져 있었는지 알겠구나 하고 생각이 들 것이다. 필터 부분을 보면 Name, String 으로 구분되어 있는데, Name 은 말 그대로 대표 이름을 지정한 것이고 String 에 표시된 부분은 필터 구문을 나타내고 있다. 즉, 해당 필터에 맞는 것은 그림과 같은 색상대로 패킷이 표시되는 것이다. 색상은 글자색과 바탕화면으로 나누어 지정할 수 있다.  Edit 를 선택하면 설정되어 있는 색상을 변경할 수 있고, 디폴트로 Enable 되어 있다. 만약 필요치 않은 룰은 Disable 하여 색상을 제거할 수도 있다. 또, 우측의 Order 는 각 색상 필터별로 우선순위를 지정한 것이다.

만약 자기가 지정한 색깔이 실제 반영되지 않는다면, 다른 색상 필터에 의해 순서가 뒤에 있지는 않은지 확인해 보면 된다.

다음은 New 를 눌러 색상 필터를 추가로 만들어 본 것으로 TCP 포트가 5555 이고 TCP 플래그가 PUSH 상태이며 데이터가 1 이상인 것에 대해서 색상을 지정한 것이다.

기본으로 지정되어 있는 색상만 사용하지 말고, 여러분들이 주로 분석에 이용하는 포트나, 기타 특별한 경우라면 자기가 좋아하는 색상으로 꾸며보는 것은 어떨까 한다. 눈에 더 쉽게 들어와 분석이 쉬워지지 않겠는가.