Wireshark untuk Pemula: Capture, Filter, dan Membaca Paket

Selama modul jaringan ini, kamu sudah belajar banyak konsep: lapisan OSI, handshake TCP, pertanyaan DNS, DHCP, dan ARP. Semuanya masih berupa teori dan gambar. Sekarang saatnya melihat semuanya bergerak dengan mata sendiri.

Alatnya bernama Wireshark, penganalisis paket (packet analyzer) gratis dan open source yang dipakai di seluruh dunia. Wireshark menangkap setiap paket yang lewat di kartu jaringanmu, lalu menampilkannya dengan rapi, lapis demi lapis. Bagi analis SOC, penanggap insiden, dan pentester, kemampuan membaca paket adalah keterampilan dasar yang terus dipakai.

Memasang Wireshark

• Windows dan macOS: unduh dari situs resminya, wireshark.org. Di Windows, ikut pasang Npcap saat ditawarkan, karena komponen ini yang memungkinkan Wireshark menangkap paket.
• Linux (Ubuntu/Debian): pasang lewat package manager, lalu masukkan akunmu ke grup wireshark supaya bisa merekam tanpa menjalankan Wireshark sebagai root.

sudo apt install wireshark       # pilih "Yes" saat ditanya apakah non-superuser boleh merekam
sudo usermod -aG wireshark $USER # masukkan akunmu ke grup wireshark
# log out lalu log in lagi agar keanggotaan grup berlaku

Menjalankan Wireshark sebagai root memang lebih praktis, tapi tidak disarankan. Wireshark membaca data dari jaringan, dan kalau ada celah di bagian pembaca paketnya, penyerang bisa memanfaatkannya dengan hak root. Ini penerapan langsung prinsip least privilege yang sudah kamu pelajari di modul Linux.

Mengenal jendela Wireshark

Saat dibuka, Wireshark menampilkan daftar interface, yaitu kartu jaringan yang ada di komputermu, misalnya Wi-Fi (wlan0) atau kabel (eth0). Garis kecil di samping nama interface menunjukkan ada tidaknya lalu lintas. Klik dua kali interface yang aktif untuk mulai merekam, lalu klik tombol kotak merah untuk berhenti.

Perhatikan panel detail paket. Isinya tersusun dari bawah ke atas lapisan jaringan: Frame (layer 1), Ethernet dengan alamat MAC (layer 2), IP dengan alamat IP (layer 3), dan TCP dengan nomor port (layer 4). Inilah enkapsulasi yang kamu pelajari di artikel Model OSI 7 Layer, kali ini terlihat nyata.

Di daftar paket, paket 3, 4, dan 5 adalah three-way handshake (SYN, SYN-ACK, ACK) yang dibahas di artikel TCP, UDP, dan ICMP. Sebelumnya, paket 1 dan 2 adalah pertanyaan dan jawaban DNS. Semua yang kamu pelajari ternyata terjadi dalam waktu kurang dari sepersepuluh detik.

Menyaring paket dengan filter

Dalam satu menit saja, Wireshark bisa menangkap ribuan paket. Tanpa filter, kamu akan tenggelam. Ada dua jenis filter yang sering tertukar oleh pemula.

Untuk pemula, sarannya: rekam semuanya, lalu pakai display filter. Kolomnya ada di atas daftar paket. Kalau filter yang kamu ketik benar, kolomnya berwarna hijau. Kalau merah, penulisannya salah.

Filter bisa digabung dengan && (dan), || (atau), dan ! (bukan). Contoh: ip.addr == 192.168.1.23 && dns menampilkan pertanyaan DNS dari satu perangkat saja.

Membaca percakapan: Follow TCP Stream

Satu halaman web bisa terpecah menjadi puluhan paket. Untuk membaca percakapannya secara utuh, klik kanan sebuah paket TCP lalu pilih Follow → TCP Stream. Wireshark akan menyusun ulang semua paket dalam koneksi itu menjadi satu teks percakapan.

Fitur ini sekaligus menunjukkan kenapa enkripsi sangat penting.

Di HTTP, nama pengguna dan password terbaca begitu saja. Siapa pun yang bisa menangkap lalu lintas itu, misalnya penyerang yang melakukan ARP spoofing seperti di artikel DNS, DHCP, ARP, dan NAT, langsung mendapatkannya. Di HTTPS, yang terlihat hanya data acak. Kamu sudah membaca teorinya di artikel HTTP vs HTTPS. Dengan Wireshark, kamu bisa membuktikannya sendiri.

Fitur lain yang berguna

Wireshark di terminal: tshark

Wireshark juga punya versi terminal bernama tshark, yang biasanya ikut terpasang. Ini berguna di server tanpa tampilan grafis, sesuatu yang akan sering kamu temui.

tshark -D                                  # daftar interface
sudo tshark -i eth0 -c 20                  # rekam 20 paket dari eth0
sudo tshark -i eth0 -f "port 53" -c 10     # capture filter: hanya DNS
tshark -r rekaman.pcapng -Y "http.request" # buka file dan pakai display filter

Perhatikan bedanya: opsi -f untuk capture filter, opsi -Y untuk display filter. Ganti eth0 dengan nama interface di komputermu.

Kenapa ini penting untuk keamanan siber

Log dan alat keamanan bisa berbohong atau terlewat, tapi paket menunjukkan apa yang benar-benar terjadi di jaringan. Karena itu analisis paket dipakai di banyak pekerjaan keamanan: analis SOC memeriksa lalu lintas mencurigakan, penanggap insiden menelusuri ke mana data dicuri, dan pentester membuktikan bahwa sebuah aplikasi masih mengirim password tanpa enkripsi. Kemampuan ini juga menjadi dasar untuk memahami alat yang lebih canggih seperti IDS dan sistem pemantauan jaringan yang akan kamu pelajari nanti.

Ringkasan

• Wireshark menangkap dan menampilkan paket jaringan, tersusun per lapisan seperti model OSI.
• Jendelanya terdiri dari daftar paket, detail paket, dan byte mentah, ditambah kolom filter.
• Capture filter memilih apa yang direkam. Display filter memilih apa yang ditampilkan dan paling sering dipakai.
• Follow TCP Stream menyusun ulang percakapan, dan membuktikan bahwa HTTP bisa dibaca sedangkan HTTPS tidak.
• tshark adalah versi terminal Wireshark, berguna di server.
• Rekam hanya jaringan milikmu, dan perlakukan file rekaman sebagai data sensitif.

Tonton dan baca juga

• Video: Packet analysis
• Panduan resmi Wireshark (bahasa Inggris)

Dengan materi ini, kamu menyelesaikan modul Jaringan Komputer. Modul berikutnya mengajakmu mulai menulis program sendiri dengan Python dan Bash, dimulai dari dasar Python: variabel, kondisi, loop, fungsi, modul, dan membaca file. Buka di roadmap untuk melanjutkan.