Online konvertor PCAP do CSV zdarma

Tabulkový procesor, systém pro vytváření reportů nebo skript může vyžadovat zachycený provoz jako řádky a sloupce namísto binárního trasování paketů. Převodem zachycených dat do CSV se extrahují vybraná pole pro filtrování, úpravy, sdílení nebo import do Excel, LibreOffice Calc, Python, R či databáze.

Co je formát PCAP

PCAP je binární formát pro zachytávání síťového provozu, který ukládá záznamy paketů, časová razítka, zachycené a původní délky, typ linkové vrstvy a v případě dostupnosti také zachycené bajty. Bajty mohou v závislosti na místě zachycení a délce snapu obsahovat data linkové, síťové, transportní i aplikační vrstvy.

Wireshark, TShark, tcpdump, dumpcap, monitorovací zařízení a systémy pro detekci průniků mohou vytvářet nebo zapisovat soubory PCAP. Síťoví analytici používají zachycená data k řešení problémů, analýze protokolů, zkoumání výkonu, reakci na incidenty a uchovávání důkazů. Související formát PCAPNG může také ukládat více rozhraní, komentáře, data pro překlad názvů a další metadata zachycení; aktuální verze Wireshark a TShark obecně načítají oba formáty.

Zachycená data mohou obsahovat přihlašovací údaje, cookies, IP adresy, zprávy a další důvěrný obsah. S nezpracovaným zachyceným provozem zacházejte jako s citlivým důkazním materiálem.

Co je formát CSV

CSV je prostý text uspořádaný do záznamů a polí, obvykle s jedním záznamem na řádek a čárkami oddělujícími jednotlivá pole. Uvozování řeší čárky, uvozovky a další znaky uvnitř hodnot polí, ale CSV nemá univerzální standard pro oddělovač, kódování ani datové typy.

CSV se souhrnem paketů může obsahovat číslo rámce, časové razítko, zdrojové a cílové adresy, porty, protokol a délky paketů. Tyto sloupce jsou vhodné k řazení, filtrování, počítání, vytváření grafů a importu do databází a výsledný soubor je často mnohem menší než původní zachycená data. CSV nezachovává úplné bajty paketů, hierarchii protokolů, stav opětovného sestavení, metadata zachycení, komentáře ani podrobnosti analýzy, které nebyly výslovně exportovány.

Použití TShark

TShark je analyzátor Wireshark pro příkazový řádek a poskytuje opakovatelnou kontrolu nad exportovanými sloupci. Nainstalujte Wireshark nebo balíček TShark dodávaný vaším operačním systémem. Spusťte příkaz z terminálu v adresáři obsahujícím zachycená data:

tshark -r capture.pcap -n -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e ipv6.src -e ipv6.dst -e tcp.srcport -e tcp.dstport -e udp.srcport -e udp.dstport -e _ws.col.Protocol -e frame.len -e frame.cap_len > packets.csv

-r načte vstup, -n zakáže překlad názvů a -T fields zapíše pouze požadovaná pole. Volby -E přidají záhlaví, vyberou čárky, uzavřou hodnoty do dvojitých uvozovek a ponechají první hodnotu, pokud se pole vyskytuje více než jednou. frame.len je původní délka přenášená po síti; frame.cap_len je počet zachycených bajtů. V případě potřeby nahraďte capture.pcap názvem souboru .pcapng.

Pole, která se na paket nevztahují, zůstanou prázdná. Například IP adresy u provozu, který nepoužívá IP, chybí a TCP porty chybí u UDP, ICMP a dalších protokolů. Přidejte pole specifická pro daný protokol pomocí dalších voleb -e, například dns.qry.name, http.request.method, tls.handshake.extensions_server_name nebo tcp.stream. Pomocí tshark -G fields zobrazíte názvy polí podporované nainstalovanou verzí.

Chcete-li exportovat pouze pakety odpovídající zobrazovacímu filtru Wireshark, přidejte -Y:

tshark -r capture.pcap -n -Y "dns or tcp.port == 443" -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e _ws.col.Protocol -e frame.len > filtered.csv

Pokud filtr obsahuje speciální znaky, použijte v systému Windows nebo jiném operačním systému způsob uvozování odpovídající danému shellu. TShark je vhodnější pro velké soubory, opakovatelné exporty a skripty, protože schéma je explicitně určeno.

Použití Wireshark

1. Otevřete soubor PCAP nebo PCAPNG pomocí File → Open.
2. Zadejte zobrazovací filtr, například dns, http, ip.addr == 192.0.2.10 nebo tcp.port == 443.
3. Pokud výchozí sloupce nestačí, nakonfigurujte sloupce seznamu paketů pomocí Edit → Preferences → Appearance → Columns. Přidejte pole, jako je číslo paketu, čas, zdroj, cíl, protokol a délka.
4. Vyberte File → Export Packet Dissections → As CSV. V dialogu exportu vyberte zobrazené pakety, pokud má filtr omezit výstup.
5. Uložte soubor s příponou .csv a před jeho použitím jej zkontrolujte v textovém editoru nebo při řízeném importu.

Grafický export z Wireshark je vhodný pro jednorázový souhrn seznamu paketů. Jeho výstup se řídí sloupci seznamu paketů, nikoli každým analyzovaným polem. Pokud je vyžadován přesný výběr polí nebo opakovatelné dávkové zpracování, použijte TShark.

Použití integrovaného online převodníku

Soubor můžete zdarma převést na 101convert.com bez instalace softwaru: nahrajte soubor PCAP nebo PCAPNG, vyberte CSV, spusťte převod a stáhněte výsledek. 

Omezení kvality a kompatibility

• Krátká délka snapu může v zachycených datech zanechat pouze záhlaví nebo neúplný obsah. CSV nemůže obnovit bajty, které nebyly nikdy zachyceny.
• Šifrování obvykle ponechává dostupné adresy, porty, časová razítka a metadata protokolu, nikoli však dešifrovaný aplikační obsah.
• Opakovaná pole vyžadují rozhodnutí o schématu. -E occurrence=f ponechá první hodnotu; jiná nastavení výskytu mohou vytvořit opakované hodnoty nebo hodnoty spojené oddělovačem, které se nevejdou do jednoduchého databázového sloupce.
• frame.time_epoch spolehlivěji zachovává číselné časové razítko Unix a zlomkové sekundy než čas formátovaný podle národního prostředí. Pokud záleží na pořadí událostí, ponechte jej.
• Tabulkový software může nesprávně interpretovat časová razítka, dlouhá celá čísla, IP adresy a hodnoty s úvodními nulami. Pokud záleží na přesných hodnotách, importujte sloupce s explicitně určenými typy text, celé číslo nebo datum.
• Velká zachycená data mohou vytvořit miliony řádků a překročit limit řádků tabulkového procesoru. Před exportem filtrujte nebo načtěte CSV do databáze, Python, R či jiného nástroje pro zpracování dat.
• Původní soubor PCAP nebo PCAPNG si ponechte jako zdroj analýzy. CSV je odvozený souhrn a pro spolehlivou opětovnou analýzu paketů není dostačující.