Tutorial Wireshark — Panduan Praktis untuk Analisis PCAP

1) Pengantar Singkat

Wireshark adalah alat untuk membaca lalu lintas jaringan pada tingkat paket. Dalam konteks kelas, tujuan kita: membuka PCAP, menemukan hal penting, dan menuliskannya kembali secara ringkas.

Yang diperlukan: Wireshark (atau tshark), berkas .pcap/.pcapng contoh dari kelas.

Etika: hanya analisis data yang memiliki izin; anonimisasi informasi sensitif.

2) Buka Berkas & Kenali Antarmuka

1. Buka File → Open… → pilih PCAP.
2. Kenali tiga panel: Packet List (atas), Packet Details (tengah), Packet Bytes (bawah).
3. Pastikan kolom No. / Time / Source / Destination / Protocol / Length / Info terlihat (klik kanan header → Column Preferences bila perlu).

Tujuan bagian ini: bisa bergerak cepat antar panel tanpa kebingungan.

3) Filter Tampilan yang Paling Sering Dipakai

Masukkan pada kotak Display Filter:

• http — paket HTTP.
• http.request / http.response — permintaan/resp.
• tcp.port == 80 / tcp.port == 443 — fokus port.
• ip.addr == <IP> — alamat tertentu.
• tls — semua paket TLS.
• tls.handshake.type == 1 — paket Client Hello.
• tls.handshake.extensions_server_name contains "domain" — cari SNI.
• dns.qry.name contains "domain" — kueri DNS.

Tips: gunakan tombol panah ke bawah di kanan kolom filter untuk riwayat filter yang pernah dipakai.

4) Alur Analisis yang Rapi dari Awal sampai Akhir

Ikuti urutan berikut saat pertama kali melihat PCAP.

4.1 Peta Besar Protokol

1. Masuk menu Statistics → Protocol Hierarchy.
2. Catat protokol dominan (misal: TLS, HTTP, DNS).
3. Pakai informasi ini sebagai peta fokus selanjutnya.

Hasil yang diharapkan: satu kalimat ringkas, mis. “Lalu lintas didominasi TLS (±60%) dengan sebagian kecil HTTP dan DNS.”

4.2 Tujuan Koneksi via TLS SNI

1. Filter: tls.handshake.type == 1.
2. Pilih paket → panel Packet Details → Transport Layer Security → Extension: server_name.
3. Catat nilai SNI (contoh example.com).
4. Simpulkan: “Klien mengawali koneksi TLS ke example.com (443)."

Catatan: SNI tampak pada Client Hello. Tidak selalu ada jika aplikasi menyembunyikannya (ESNI/HTTPS tertentu).

4.3 Kredensial pada HTTP (Jika Ada)

1. Filter: http.request atau http.authorization.
2. Klik paket relevan → Follow → HTTP Stream untuk melihat percakapan utuh.
3. Jika ada Authorization: Basic <base64>, pahami bahwa itu tidak terenkripsi.
4. Tuliskan nilai user:pass hanya jika data latihan mensyaratkannya—jangan cantumkan data sensitif nyata.

Hasil yang diharapkan: “Terlihat otentikasi Basic pada rute /login." (sebutkan nomor frame/stream sebagai bukti).

4.4 Ekspor Berkas yang Ditransfer via HTTP

1. File → Export Objects → HTTP….
2. Periksa kolom Hostname / Content Type / Size.
3. Pilih objek yang relevan → Save.
4. Simpan dengan pola nama yang rapi: YYYYMMDD_CASE-HTTP-<host>-<filename>.

Hasil yang diharapkan: daftar satu–dua berkas penting beserta konteksnya (mis. ikon situs, arsip kecil, dsb.).

4.5 Ikhtisar Host & Arus Data

1. Statistics → Conversations untuk pasangan IP:port dominan.
2. Statistics → Endpoints untuk daftar host aktif.
3. (Opsional) Statistics → I/O Graph untuk pola volume trafik dari waktu ke waktu.

Hasil yang diharapkan: “Mayoritas trafik antara 10.10.10.5↔93.184.216.34:443; puncak pada detik ke‑120.”

5) Verifikasi Temuan sebelum Ditulis

• Uji ulang filter dengan variasi kata kunci (mis. http.request.method == "POST").
• Cocokkan temuan SNI dengan Conversations/Endpoints (IP dan portnya sama?).
• Cek urutan waktu antar paket (kolom Time dan TCP stream).
• Buka kembali stream yang sama; pastikan hasilnya konsisten.

Tujuan: mencegah salah tafsir dan memastikan bukti kuat.

6) Contoh Laporan Hasil Analisis

Judul: Analisis PCAP Wireshark — [Nama Kasus] Ringkasan (3–4 kalimat): gambaran umum apa yang terjadi. Temuan Utama (maks. 3 poin) — masing‑masing berisi:

• Pernyataan (1 kalimat aktif).
• Bukti: nomor frame/stream, nama menu/fitur, filter yang dipakai.
• Makna: mengapa penting/apa implikasinya.

Contoh singkat:

1. Tujuan TLS ke example.com pada port 443. Bukti: tls.handshake.type == 1 → extensions_server_name (Frame #214).
2. Terlihat otentikasi Basic pada HTTP. Bukti: http.authorization → Follow HTTP Stream (Stream #7).
3. Berkas logo.png diunduh via HTTP. Bukti: Export Objects → HTTP (host example.com).

Catatan etika: hapus/anonimkan data sensitif pada laporan publik.

7) Ringkasan Akhir

Dengan urutan di atas, kamu bisa memetakan protokol, menemukan tujuan koneksi, memeriksa otentikasi yang tidak aman, mengekspor objek, dan menyajikan laporan ringkas berbasis bukti. Setelah mahir, lanjutkan ke otomasi ringan dengan tshark untuk mengekstrak kolom tertentu dari PCAP dan memudahkan tabulasi hasil.