misp-wireshark

misp-wireshark هو مكون إضافي بلغة Lua مصمم لمساعدة المحللين على استخراج البيانات من Wireshark وتحويلها إلى تنسيق MISP الأساسي

الاستخدام

Wireshark

1. انتقل إلى Tools في الشريط العلوي لـ Wireshark وانقر على MISP: Export to MISP format
2. أدخل خيارات التصدير لتكوين سلوك المصدّر
   • 
   • Main filter: املأ هذا الحقل لتصفية البيانات المُصدَّرة. في الأساس، سيكون مجرد نسخ/لصق من المرشح العام في الواجهة. (لا يمكن القيام بذلك تلقائيًا بسبب هذا)
   • Include HTTP payload: هل ينبغي تضمين الحمولات المُرسلة عبر HTTP كملف في المخرجات
   • Export path: الموقع الذي سيتم حفظ الملف المُصدَّر فيه عند النقر على Save to file
   • Tags: علامات اختيارية يمكن إرفاقها ببعض سمات MISP.
3. انسخ البيانات المراد استيرادها إلى MISP أو احفظها في ملف
   • 
4. استيرادها إلى MISP
   • 

Tshark

خيارات سطر الأوامر هي نفس المعاملات الموجودة في واجهة المستخدم:

• filters: تعبير التصفية المراد تطبيقه
• include_payload: هل ينبغي تصدير الحمولات المحتملة أيضًا. يقبل y أو n
• export_path: المجلد الذي سيتم حفظ ملف json فيه. إذا لم يُقدم، فسيتم الإخراج إلى stdout بشكل افتراضي
• tags: علامات اختيارية يمكن إرفاقها ببعض سمات MISP

مثال

tshark \
    -r ~/Downloads/capture.cap \
    -X lua_script:/home/john/.local/lib/wireshark/plugins/misp-wireshark/misp-wireshark.lua \
    -X lua_script1:filters="ip.addr == 127.0.0.1" \
    -X lua_script1:include_payload=n \
    -X lua_script1:tags="tlp1,tlp2" \
    frame.number == 0

ملاحظة: نظرًا لأننا لم نقدم مسار تصدير، فستتم طباعة النتيجة على stdout. ومع ذلك، لتجنب الخلط بين مخرجات المكون الإضافي ومخرجات tshark، قمنا بتوفير مرشح لـ tshark يقوم بتصفية جميع الحزم. لكن هذا المرشح لا يُستخدم بواسطة المكون الإضافي. فقط المرشح المُقدم عبر -X lua_script1:filters هو المستخدم.

بناءً على المثال أعلاه، frame.number == 0 يُستخدم فقط لمنع إخراج tshark بينما ip.addr == 127.0.0.1 يُستخدم فعليًا بواسطة المكون الإضافي

التثبيت

على Linux، قم باستنساخ المستودع في مجلد موقع الإضافات الخاص بـ Wireshark

mkdir -p ~/.local/lib/wireshark/plugins
cd ~/.local/lib/wireshark/plugins
git clone https://github.com/MISP/misp-wireshark 
cd misp-wireshark/
git submodule update --init --recursive

التحديثات

git pull
git submodule update

ملاحظات حول community-id

⚠️ لكي يستخدم هذا المكون الإضافي community-id، يجب أن يكون wireshark في الإصدار 3.3.1 أو أعلى.

بشكل افتراضي، community-id معطّل. لتمكينه، يجب تنفيذ الخطوات التالية:

1. في الشريط العلوي، انتقل إلى Analyze/Enabled Protocols...
2. ابحث عن CommunityID في القائمة
3. حدد مربع الاختيار

الصادرات المدعومة بتنسيق كائن MISP

• network-connection من tcp
• http-request من tcp.http، بما في ذلك حمولات HTTP
• dns-record من udp.dns