misp-wireshark

misp-wireshark es un plugin de Lua diseñado para ayudar a los analistas a extraer datos de Wireshark y convertirlos al formato MISP Core

Uso

Wireshark

1. Vaya a Tools ubicado en la barra superior de Wireshark y haga clic en MISP: Export to MISP format
2. Ingrese las opciones de exportación para configurar el comportamiento del exportador
   • 
   • Main filter: Complete este campo para filtrar los datos exportados. Esencialmente, será solo un copiar/pegar del filtro global en la interfaz. (Esto no se puede hacer automáticamente debido a esto)
   • Include HTTP payload: ¿Deberían incluirse las cargas útiles enviadas a través de HTTP como un archivo en la salida?
   • Export path: La ubicación donde se debe guardar el archivo exportado al hacer clic en Save to file
   • Tags: Se pueden adjuntar etiquetas opcionales a algunos atributos de MISP.
3. Copie o guarde en un archivo los datos a importar en MISP
   • 
4. Importar en MISP
   • 

Tshark

Las opciones de línea de comandos son los mismos parámetros que en la interfaz de usuario:

• filters: La expresión de filtro a aplicar
• include_payload: ¿Deben exportarse también las cargas útiles potenciales? Acepta y o n
• export_path: La carpeta donde se debe guardar el json. Si no se proporciona, por defecto es stdout
• tags: Etiquetas opcionales para adjuntar a algunos atributos de MISP

Ejemplo

tshark \
    -r ~/Downloads/capture.cap \
    -X lua_script:/home/john/.local/lib/wireshark/plugins/misp-wireshark/misp-wireshark.lua \
    -X lua_script1:filters="ip.addr == 127.0.0.1" \
    -X lua_script1:include_payload=n \
    -X lua_script1:tags="tlp1,tlp2" \
    frame.number == 0

Nota: Como no proporcionamos una ruta de exportación, el resultado se imprime en stdout. Sin embargo, para evitar mezclar la salida del plugin y la salida de tshark, proporcionamos un filtro a tshark que filtrará todos los paquetes. Sin embargo, este filtro no lo usa el plugin. Solo se usa el filtro proporcionado mediante -X lua_script1:filters.

Basado en el ejemplo anterior, frame.number == 0 solo se usa para evitar la salida de tshark, mientras que ip.addr == 127.0.0.1 es usado realmente por el plugin

Instalación

En Linux, clone el repositorio en la carpeta de ubicación de plugins de Wireshark

mkdir -p ~/.local/lib/wireshark/plugins
cd ~/.local/lib/wireshark/plugins
git clone https://github.com/MISP/misp-wireshark 
cd misp-wireshark/
git submodule update --init --recursive

Actualizaciones

git pull
git submodule update

Notas sobre community-id

⚠️ Para que este plugin use community-id, Wireshark debe estar en la versión 3.3.1 o superior.

Por defecto, community-id está deshabilitado. Para habilitarlo, debe realizar estos pasos:

1. En la barra superior, vaya a Analyze/Enabled Protocols...
2. Busque CommunityID en la lista
3. Marque la casilla

Exportaciones compatibles en formato de objeto MISP

• network-connection desde tcp
• http-request desde tcp.http, incluyendo cargas útiles HTTP
• dns-record desde udp.dns