So läuft die Detailanalyse des Netzverkehrs

Im Beispiel fällt allerdings gleich eines auf: Eine Station verschickt regelmäßig Netbios-over-IPX-Pakete. Das sollte nicht vorkommen, da das IPX-Protokoll veraltet ist. Allerdings zeigt Wireshark für dieses Paket nur die IPX-Adresse des Absenders an.

Wenn Sie das Paket anklicken, erscheint im darunter liegenden Fensterbereich eine Aufschlüsselung des Pakets. Hier ist vor allem der Teil „IEEE 802.3 Ethernet“ interessant. Ein Klick auf das Plus-Zeichen öffnet den Bestandteil des Pakets, und Sie erhalten die MAC-Adresse.

Ein Rechtsklick auf die Zeile mit der Quelladresse öffnet ein Kontextmenü, aus dem heraus sich ein Ansichtsfilter erstellen lässt. Da alle Pakete von oder an diese Station interessant sind, wählen Sie „Apply as Filter, Selected“. Wireshark zeigt nun alle Pakete von oder an diese Station an.

Wir haben Glück, und es finden sich noch zwei Browser-Nachrichtenpakete in der Liste. Diese enthalten unter anderem den Windows-Namen des Rechners im Netz – in diesem Fall „PC1“, der zur Netzwerk-Domäne „OZIE“ gehört. Mit diesem Wissen lässt sich der PC – im Beispiel waren die LAN-Einstellungen falsch konfiguriert – ausmachen und neu konfigurieren.

Wenn Sie den Datenverkehr nicht filtern, erhalten Sie alle Management-Pakete. Um die Pakete und IP-Broadcasts auszufiltern, reicht ein Capture-Filter, der als Quell- oder als Ziel-IP nur die eigene IP-Adresse erlaubt. Rufen Sie den Dialog „Capture, Options“ auf und tragen Sie im Feld neben „Capture Filter“ Folgendes ein:

Ersetzen Sie dabei <IP-Adresse> durch die IP der Netzwerkkarte, mit der Sie den Datenverkehr protokollieren wollen – in der Regel also Ihre IP-Adresse. Bei bestimmten Verdachtsmomenten hinsichtlich verwendeter Ports lassen sich die Filter weiter eingrenzen, um das Datenaufkommen in Grenzen zu halten. So würde etwa die folgende Zeile nur Pakete von oder an die eigene Station selektieren, die HTTP-Traffic (Browser-Datenpakete) enthalten: