misp-wireshark

misp-wireshark एक Lua प्लगइन है जो विश्लेषकों को Wireshark से डेटा निकालने और इसे MISP कोर प्रारूप में बदलने में मदद करने के लिए है।

उपयोग

Wireshark

1. Wireshark के शीर्ष बार में स्थित Tools पर जाएं और MISP: Export to MISP format पर क्लिक करें।
2. निर्यातक के व्यवहार को कॉन्फ़िगर करने के लिए निर्यात विकल्प दर्ज करें।
   • 
   • Main filter: निर्यात किए गए डेटा को फ़िल्टर करने के लिए इस फ़ील्ड को भरें। यह मूल रूप से इंटरफ़ेस में वैश्विक फ़िल्टर से कॉपी/पेस्ट होगा। (यह स्वचालित रूप से नहीं किया जा सकता क्योंकि इस कारण)
   • Include HTTP payload: क्या HTTP के माध्यम से भेजे गए पेलोड को आउटपुट में एक फ़ाइल के रूप में शामिल किया जाना चाहिए।
   • Export path: जब Save to file पर क्लिक किया जाता है तो निर्यात की गई फ़ाइल को कहाँ सहेजा जाना चाहिए।
   • Tags: वैकल्पिक टैग कुछ MISP विशेषताओं से जोड़े जा सकते हैं।
3. MISP में आयात किए जाने वाले डेटा को कॉपी करें या फ़ाइल में सहेजें।
   • 
4. MISP में आयात करें।
   • 

Tshark

कमांड-लाइन विकल्प उपयोगकर्ता इंटरफ़ेस के समान पैरामीटर हैं:

• filters: लागू किया जाने वाला फ़िल्टर एक्सप्रेशन
• include_payload: क्या संभावित पेलोड को भी निर्यात किया जाना चाहिए। y या n स्वीकार करता है।
• export_path: वह फ़ोल्डर जिसके अंतर्गत json सहेजा जाना चाहिए। यदि प्रदान नहीं किया गया है, तो stdout पर डिफ़ॉल्ट होता है।
• tags: कुछ MISP विशेषताओं से जोड़े जाने वाले वैकल्पिक टैग।

उदाहरण

tshark \
    -r ~/Downloads/capture.cap \
    -X lua_script:/home/john/.local/lib/wireshark/plugins/misp-wireshark/misp-wireshark.lua \
    -X lua_script1:filters="ip.addr == 127.0.0.1" \
    -X lua_script1:include_payload=n \
    -X lua_script1:tags="tlp1,tlp2" \
    frame.number == 0

नोट: चूँकि हमने कोई निर्यात पथ प्रदान नहीं किया, परिणाम stdout पर मुद्रित होता है। हालांकि, प्लगइन आउटपुट और tshark आउटपुट के मिश्रण से बचने के लिए, हम tshark को एक फ़िल्टर प्रदान करते हैं जो सभी पैकेटों को फ़िल्टर कर देगा। लेकिन, यह फ़िल्टर प्लगइन द्वारा उपयोग नहीं किया जाता है। केवल -X lua_script1:filters के माध्यम से प्रदान किया गया फ़िल्टर उपयोग किया जाता है।

उपरोक्त उदाहरण के आधार पर, frame.number == 0 केवल tshark के आउटपुट को रोकने के लिए उपयोग किया जाता है जबकि ip.addr == 127.0.0.1 वास्तव में प्लगइन द्वारा उपयोग किया जाता है।

स्थापना

Linux पर, Wireshark के प्लगइन स्थान फ़ोल्डर में रिपॉजिटरी को क्लोन करें।

mkdir -p ~/.local/lib/wireshark/plugins
cd ~/.local/lib/wireshark/plugins
git clone https://github.com/MISP/misp-wireshark 
cd misp-wireshark/
git submodule update --init --recursive

अद्यतन

git pull
git submodule update

community-id के बारे में नोट्स

⚠️ इस प्लगइन द्वारा community-id का उपयोग करने के लिए, Wireshark का संस्करण 3.3.1 या उच्च होना चाहिए।

डिफ़ॉल्ट रूप से, community-id अक्षम है। इसे सक्षम करने के लिए, आपको ये चरण करने होंगे:

1. शीर्ष बार पर Analyze/Enabled Protocols... पर जाएं।
2. सूची में CommunityID खोजें।
3. चेकबॉक्स को चेक करें।

MISP ऑब्जेक्ट प्रारूप में समर्थित निर्यात

• network-connection tcp से
• http-request tcp.http से, HTTP पेलोड सहित
• dns-record udp.dns से