Quando um dado vaza, uma pergunta decide o tamanho do estrago: ele saiu pela rede, e para onde? A resposta não está no disco nem na memória. Está no tráfego, no que efetivamente passou pelo fio. E se houver captura, ela conta a história sem depender da palavra de ninguém.
Análise de PCAP, o formato padrão de captura de pacotes, é a peça da forense que reconstrói a conversa entre as máquinas.
De onde vem a captura
Você só analisa o que foi capturado. Por isso, a decisão mais importante acontece antes do incidente: ter pontos de captura na rede, ou ao menos a capacidade de ligá-los rápido. Firewalls, sistemas de detecção e appliances de rede frequentemente guardam ou geram capturas.
No momento da coleta, o PCAP é uma evidência como qualquer outra: copie, gere o hash e trabalhe sobre a cópia, o mesmo cuidado de Aquisição de imagem de disco forense.
sha256sum captura.pcap | tee captura.pcap.sha256A primeira visão: quem falou com quem
Antes de olhar pacote a pacote, entenda o todo. A visão de conversas mostra quais pares de endereços trocaram tráfego e quanto.
# resumo de conversas por volume, com a ferramenta de linha de comando
tshark -r captura.pcap -q -z conv,ipAqui já aparece o primeiro indício forte: um par de endereços com volume de saída muito acima do normal. Exfiltração de dados costuma se revelar assim, como um fluxo grande partindo de dentro para um destino externo desconhecido.
Os filtros que revelam o essencial
PCAP bruto é oceano. Os filtros certos isolam o que interessa.
| Objetivo | Filtro |
|---|---|
| Resoluções de nome (para onde tentou ir) | dns |
| Conexões HTTP e destinos | http.request |
| Tráfego cifrado e os certificados | tls.handshake.type == 1 |
| Transferência de arquivos | ftp-data or tftp |
| Um par de máquinas específico | ip.addr == X and ip.addr == Y |
O filtro de DNS é ouro. Mesmo quando o conteúdo é cifrado, a consulta de nome muitas vezes está em claro e revela para qual domínio a máquina tentou se conectar, denunciando o servidor de comando de um malware.
Seguindo uma conversa inteira
Quando um par suspeito aparece, reconstrua o diálogo completo entre as duas máquinas:
tshark -r captura.pcap -q -z follow,tcp,ascii,0Numa conexão não cifrada, isso mostra comandos e respostas em texto, incluindo credenciais, comandos remotos e dados transferidos. É a diferença entre suspeitar e comprovar.
O que o cifrado ainda entrega
Boa parte do tráfego hoje é cifrada, e isso limita o que se lê. Mas não zera o que se aprende. Mesmo sem ver o conteúdo, o tráfego cifrado revela:
- O destino da conexão e o nome do servidor negociado no handshake.
- O volume e o ritmo dos dados, que denunciam exfiltração ou comunicação periódica de malware.
- O certificado apresentado, que pode ser autoassinado ou suspeito.
- Comunicação em horário incomum, o mesmo sinal comportamental de Monitoramento Avançado com XDR no SOC.
As armadilhas de interpretação
Análise de tráfego engana quem não conhece as armadilhas.
Fuso e sincronização. Os carimbos de tempo da captura precisam bater com os do resto da linha do tempo. Comparar horários de fontes diferentes sem alinhar o fuso inverte a ordem dos fatos, o mesmo cuidado de Linha do tempo forense com Plaso.
Endereço não é pessoa, nem sempre é a máquina. Tradução de endereços, proxies e redes compartilhadas fazem várias máquinas aparecerem como uma só. O endereço prova o caminho, não o autor.
Captura parcial. Se a captura pegou só um trecho, a ausência de um pacote não prova que algo não aconteceu. Prova apenas que não foi capturado.
Juntando com o resto
O PCAP responde “o que saiu pela rede e para onde”. Sozinho, é meia história. Cruzado com a memória da máquina de origem, de Análise Forense de Memória RAM, e com os registros do sistema, de Forense de logs de eventos do Windows, ele fecha a sequência: qual processo abriu a conexão, o que ele mandou, e para onde foi.
É esse cruzamento que transforma pacotes soltos numa narrativa que se sustenta. O tráfego mostra a saída; o resto mostra a origem. Juntos, contam o incidente inteiro.