Darmowy konwerter online PCAP do CSV

Arkusz kalkulacyjny, system raportowania lub skrypt może wymagać przechwyconego ruchu w postaci wierszy i kolumn zamiast binarnego śladu pakietów. Konwersja przechwyconych danych do CSV wyodrębnia wybrane pola w celu filtrowania, edytowania, udostępniania lub importowania do Excel, LibreOffice Calc, Python, R albo bazy danych.

Czym jest format PCAP

PCAP to binarny format przechwytywania ruchu sieciowego, który przechowuje rekordy pakietów, znaczniki czasu, długości przechwyconych i oryginalnych danych, typ warstwy łącza oraz przechwycone bajty, jeśli są dostępne. Bajty mogą zawierać dane warstwy łącza, sieciowej, transportowej i aplikacji, zależnie od punktu przechwytywania oraz długości migawki.

Wireshark, TShark, tcpdump, dumpcap, urządzenia monitorujące oraz systemy wykrywania włamań mogą tworzyć lub zapisywać pliki PCAP. Analitycy sieci używają przechwyconych danych do rozwiązywania problemów, analizy protokołów, badania wydajności, reagowania na incydenty oraz zachowywania materiału dowodowego. Powiązany format PCAPNG może również przechowywać wiele interfejsów, komentarze, dane rozpoznawania nazw i inne metadane przechwytywania; aktualne wersje Wireshark i TShark zazwyczaj odczytują oba formaty.

Przechwycone dane mogą zawierać dane uwierzytelniające, pliki cookie, adresy IP, wiadomości i inne poufne dane. Nieoczyszczone przechwycone dane należy traktować jako wrażliwy materiał dowodowy.

Czym jest format CSV

CSV to zwykły tekst zorganizowany w rekordy i pola, zwykle z jednym rekordem w wierszu i przecinkami oddzielającymi pola. Cudzysłowy obsługują przecinki, znaki cudzysłowu i inne znaki znajdujące się wewnątrz wartości pól, ale CSV nie ma uniwersalnego standardu separatora, kodowania ani typów danych.

CSV z podsumowaniem pakietów może zawierać numer ramki, znacznik czasu, adresy źródłowe i docelowe, porty, protokół oraz długości pakietów. Kolumny te ułatwiają sortowanie, filtrowanie, zliczanie, tworzenie wykresów i import do bazy danych, a wynik jest często znacznie mniejszy niż oryginalne przechwycone dane. CSV nie zachowuje kompletnych bajtów pakietów, hierarchii protokołów, stanu ponownego składania, metadanych przechwytywania, komentarzy ani szczegółów analizy, które nie zostały jawnie wyeksportowane.

Korzystanie z TShark

TShark to analizator wiersza poleceń programu Wireshark, który zapewnia powtarzalną kontrolę nad eksportowanymi kolumnami. Zainstaluj Wireshark albo pakiet TShark dostarczany przez system operacyjny. Uruchom polecenie w terminalu, w katalogu zawierającym przechwycone dane:

tshark -r capture.pcap -n -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e ipv6.src -e ipv6.dst -e tcp.srcport -e tcp.dstport -e udp.srcport -e udp.dstport -e _ws.col.Protocol -e frame.len -e frame.cap_len > packets.csv

-r odczytuje dane wejściowe, -n wyłącza rozpoznawanie nazw, a -T fields zapisuje tylko żądane pola. Opcje -E dodają nagłówek, wybierają przecinki, ujmują wartości w podwójne cudzysłowy i zachowują pierwszą wartość, gdy pole występuje więcej niż raz. frame.len to oryginalna długość pakietu w sieci; frame.cap_len to liczba przechwyconych bajtów. W razie potrzeby zastąp capture.pcap nazwą pliku .pcapng.

Pola, które nie dotyczą danego pakietu, pozostają puste. Na przykład adresy IP są nieobecne w ruchu innym niż IP, a porty TCP są nieobecne w protokołach UDP, ICMP i innych. Dodaj pola właściwe dla protokołu za pomocą dodatkowych opcji -e, takich jak dns.qry.name, http.request.method, tls.handshake.extensions_server_name lub tcp.stream. Użyj tshark -G fields, aby sprawdzić nazwy pól obsługiwane przez zainstalowaną wersję.

Aby wyeksportować tylko pakiety pasujące do filtra wyświetlania Wireshark, dodaj -Y:

tshark -r capture.pcap -n -Y "dns or tcp.port == 443" -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e _ws.col.Protocol -e frame.len > filtered.csv

W systemie Windows lub innym systemie operacyjnym użyj odpowiedniego dla powłoki sposobu ujmowania w cudzysłowy, jeśli filtr zawiera znaki specjalne. TShark jest preferowany w przypadku dużych plików, powtarzalnych eksportów i skryptów, ponieważ schemat jest jawnie określony.

Korzystanie z Wireshark

1. Otwórz plik PCAP lub PCAPNG za pomocą File → Open.
2. Wprowadź filtr wyświetlania, taki jak dns, http, ip.addr == 192.0.2.10 lub tcp.port == 443.
3. Skonfiguruj kolumny listy pakietów za pomocą Edit → Preferences → Appearance → Columns, jeśli domyślne kolumny są niewystarczające. Dodaj pola takie jak numer pakietu, czas, źródło, miejsce docelowe, protokół i długość.
4. Wybierz File → Export Packet Dissections → As CSV. W oknie eksportu wybierz wyświetlane pakiety, jeśli filtr ma ograniczać dane wyjściowe.
5. Zapisz plik z rozszerzeniem .csv i sprawdź go w edytorze tekstu lub podczas kontrolowanego importu przed użyciem.

Eksport graficzny programu Wireshark nadaje się do jednorazowego podsumowania listy pakietów. Jego dane wyjściowe są zgodne z kolumnami listy pakietów, a nie ze wszystkimi przeanalizowanymi polami. Użyj TShark, gdy wymagany jest dokładny wybór pól lub powtarzalne przetwarzanie wsadowe.

Korzystanie z wbudowanego konwertera online

Możesz bezpłatnie przekonwertować plik w serwisie 101convert.com bez instalowania oprogramowania: prześlij plik PCAP lub PCAPNG, wybierz CSV, rozpocznij konwersję i pobierz wynik. 

Ograniczenia jakości i zgodności

• Krótka długość migawki może pozostawić w przechwyconych danych tylko nagłówki lub częściowe dane. CSV nie może przywrócić bajtów, które nigdy nie zostały przechwycone.
• Szyfrowanie zwykle pozostawia dostępne adresy, porty, znaczniki czasu i metadane protokołu, ale nie odszyfrowaną zawartość aplikacji.
• Powtarzające się pola wymagają decyzji dotyczącej schematu. -E occurrence=f zachowuje pierwszą wartość; inne ustawienia occurrence mogą tworzyć powtarzające się wartości lub wartości połączone separatorem, które nie pasują do prostej kolumny bazy danych.
• frame.time_epoch zachowuje numeryczny znacznik czasu Unix oraz ułamkowe sekundy bardziej niezawodnie niż czas sformatowany zgodnie z ustawieniami regionalnymi. Zachowaj to pole, gdy kolejność zdarzeń ma znaczenie.
• Oprogramowanie arkuszy kalkulacyjnych może ponownie interpretować znaczniki czasu, długie liczby całkowite, adresy IP i wartości z zerami wiodącymi. Gdy dokładne wartości mają znaczenie, importuj kolumny z jawnymi typami tekstowym, całkowitoliczbowym lub daty.
• Duże przechwycone dane mogą wygenerować miliony wierszy i przekroczyć limity wierszy arkusza kalkulacyjnego. Przefiltruj dane przed eksportem albo wczytaj CSV do bazy danych, Python, R lub innego narzędzia do przetwarzania danych.
• Zachowaj oryginalny plik PCAP lub PCAPNG jako źródło analizy. CSV jest pochodnym podsumowaniem i nie wystarcza do rzetelnej ponownej analizy pakietów.