Come verificare con Wireshark se qualcuno legge i tuoi dati attacco Man in the Middle

Se sospetti che qualcuno stia intercettando la tua connessione o leggendo i tuoi dati online, puoi utilizzare Wireshark per verificare la presenza di anomalie nel traffico di rete. Grazie ai filtri corretti, è possibile individuare segnali tipici di un attacco Man in the Middle, come traffico ARP anomalo, pacchetti duplicati o risposte DNS sospette.

In questo articolo vediamo dove scaricare Wireshark, come utilizzarlo per analizzare il traffico di rete e quali filtri inserire per capire se qualcuno sta leggendo i tuoi dati.

💻 Download e installazione di Wireshark

Wireshark è uno strumento gratuito e multipiattaforma per l'analisi del traffico di rete. Puoi scaricarlo direttamente dal sito ufficiale, scegliendo il pacchetto adatto al tuo sistema operativo.

Download dal sito ufficiale

Per scaricare Wireshark vai alla pagina di download ufficiale e seleziona la versione per Windows, macOS o Linux:

Scarica Wireshark dal sito ufficiale

Dopo il download, esegui il programma di installazione e segui le istruzioni a schermo. Al termine potrai avviare Wireshark come una normale applicazione di sistema.

Alternativa: Wireshark su Kali Linux

Se utilizzi Kali Linux, Wireshark è normalmente già preinstallato. Puoi avviarlo dal menu:

• Applications → Sniffing and Spoofing → Wireshark

Oppure tramite terminale:

wireshark
            

🖥 Dove inserire i filtri in Wireshark

Una volta avviato Wireshark, per verificare se qualcuno sta leggendo i tuoi dati devi utilizzare il campo Display Filter, visibile nella parte superiore della finestra principale, sopra la lista dei pacchetti catturati.

Passi iniziali

Per iniziare un'analisi di base:

• seleziona l'interfaccia di rete che utilizzi per collegarti a Internet
• clicca su Start per avviare la cattura del traffico
• attendi qualche secondo per raccogliere pacchetti
• inserisci il filtro nel campo Display Filter e premi Invio

⚠ Controllare traffico ARP sospetto

Molti attacchi Man in the Middle sulla rete locale si basano su ARP spoofing. Il primo controllo da fare consiste nel monitorare i pacchetti ARP e verificare eventuali anomalie.

Filtro ARP generale

Per visualizzare solo i pacchetti ARP, inserisci nel Display Filter:

arp
            

Dopo avere applicato il filtro, osserva:

• molti pacchetti ARP in poco tempo
• risposte ARP non richieste
• lo stesso IP associato a MAC address diversi

Filtro specifico per ARP Reply

Per una verifica più precisa dei pacchetti sospetti:

arp.opcode == 2
            

Risposte ARP ricorrenti e non richieste possono indicare ARP spoofing.

🔧 Rilevare traffico duplicato

La presenza costante di pacchetti duplicati può indicare che un dispositivo sta intercettando e reinviando il traffico.

Filtro TCP per pacchetti duplicati

Inserisci questo filtro nel Display Filter:

tcp.analysis.duplicate_ack
            

Questo aiuta a individuare possibili manipolazioni dei pacchetti.

📊 Analizzare il traffico DNS

Un attaccante può provare a manipolare le risposte DNS. Controllare questi pacchetti è un passo importante.

Filtro DNS

Per visualizzare solo le richieste e risposte DNS utilizza:

dns
            

Segnali da osservare:

• risposte DNS provenienti da IP sconosciuti
• due o più risposte per la stessa richiesta
• risposte estremamente rapide da host locali

🔒 Verificare le connessioni TLS

Un attacco Man in the Middle può tentare di sostituire i certificati TLS. Con Wireshark puoi esaminarli in dettaglio.

Filtro TLS

Usa questo filtro per visualizzare solo il traffico cifrato:

tls
            

Apri i dettagli del certificato e verifica eventuali emittenti sospette o certificati non abituali.

💻 Controlli rapidi con tcpdump

tcpdump è un'alternativa da terminale per controlli veloci sul traffico.

Catturare pacchetti ARP

Usa:

sudo tcpdump arp
            

Catturare pacchetti DNS

Per verificare i server DNS:

sudo tcpdump -n port 53
            

Controllare ARP relativi al gateway

Dopo avere individuato il gateway:

sudo tcpdump -n ether proto 0x806 | grep IP_GATEWAY
            

MAC address diversi per lo stesso IP possono indicare un attacco.

🔍 Conclusioni

Usando i filtri corretti in Wireshark è possibile rilevare facilmente segnali di intercettazione del traffico. ARP anomali, traffico duplicato, DNS sospetti e certificati TLS irregolari rappresentano indicatori da non sottovalutare.

Combinando Wireshark e tcpdump puoi ottenere un quadro completo della sicurezza della tua rete e identificare possibili tentativi di accesso non autorizzato.

Articolo generato da ChatGPT.