Muitas vezes nos deparamos com momentos esquisitos em nossas redes, ai tentamos mexer nos switchs, cabos, etc. Mas o problema nem sempre esta nos equipamentos, mas no tipo de trafego que esta passando por ela, geralmente indo para internet.Geralmente nossos servidores, eu espero que os seus sejam assim, nao tem servidor grafico instalado, assim fazer analise de trafego capturado pelo tcpdump nao e nada facil ou amigavel.Por isso utilizar ferramentas graficas como Wireshark ou Xplico (muito usado por peritos forenses) e a melhor forma de obter informacoes mais claras e organizadas sobre os dados capturados.Vamos instalar esses programas em nosso DESKTOP (letras garrafais para voce ver que nao e no servidor ).root # apt-get install wiresharkSimples assim pois esse programa esta nos repositorios oficiais da maioria das distribuicoes, inclusive do Ubuntu que eu uso .Para instalar o Xplico precisaremos adicionar um repositorio, faremos o que vem explicado no proprio site do Xplico:sudo bash -c 'echo "deb http://repo.xplico.org/ $(lsb_release -s -c) main" >> /etc/apt/sources.list'sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 791C25CEsudo apt-get updatesudo apt-get install xplico- Comunicacao nao autorizada pela empresa (MSN, facebook chat) (incluido em alguns casos o conteudo das mesmas)- Excesso de erros de trafego ARP e requisicoes externas de DNS, que nao eram para acontecer pois temos DNS internos.- etc...Assim instalamos o Xplico:Vamos ao trabalho.No servidor abra um terminal e digite (para capturar sem filtro nenhum):root # tcpdump -w rede.pcapEle ira capturar todo o trafego de todas interfaces, o tcpdump tem varios parametros de filtros para captura de dados, mas vamos ficar no basico.Dependendo do trafego de sua rede, pode ser que gere mais de 1Mb por segundo, portanto capture por cerca de um minuto e depois encerre com Control+C, se ficar muito pequeno capture novamente por mais tempo, mas nao exceda 100Mb pois o Xplico vem configurado por padrao para arquivos pcap de no maximo 100Mb.Apos gerar o arquivo copie para seu desktop e comece a analise.Abra o Wireshak pelo menu de aplicativos ou pelo Terminal digitando: wiresharkClique em Abrir e selecione o arquivo que voce gerou. Quando terminar de abrir voce tera uma tela como essa:Nesta tela voce tem o trafego geral, podendo fazer filtros de visualizacao, pode selecionar por pacote e ver o conteudo do mesmo. Assim podemos ver o que esta sendo trafegado na rede, qual o protocolo mais usado e ate saber se trafego nao autorizado esta acontecendo.Ja no Xplico o processo e mais complicado pois e mais detalhado. Abra seu browser e digite:http://127.0.0.1:9876Agora voce pode logar como Administrador (usuario admin com senha xplico) ou como usuario (usuario xplico com senha xplico). Mude as senhas e claro .Apos logar como administrador configure o que achar necessario (nao mudei nada alem da senha aqui para analisar o trafego).Ao logar como usuario, primeiro crie um Caso de uso:Clique no Caso e crie uma Sessao:Agora clique na Sessao criada e faca upload o arquivo pcap em Pcap set.Apos isso basta selecionar o que voce quer ver, podem ser graficos de DNS, lista de protocolos Web, ate conversas de Facebook, MSN, etc...Podemos ver todo o trafego HTTP aqui:E quando selecionamos