Wireshark - Captura, filtra e interpreta tráfico como un experto

Wireshark sirve para ver con detalle qué ocurre dentro de una red: qué equipos hablan, por qué protocolo, en qué puerto y en qué punto se rompe una comunicación. Este wireshark tutorial no se queda en la teoría; lo enfoco a uso real en hacking ético, diagnóstico y análisis forense ligero, con ejemplos que puedes repetir en un laboratorio o en una red para la que tengas permiso.

Mi objetivo es que salgas con una forma de trabajo clara: cómo capturar sin generar ruido, cómo leer una traza, qué filtros merecen la pena y qué límites no conviene ignorar. Si dominas esas piezas, Wireshark deja de parecer una pantalla llena de paquetes y empieza a darte respuestas útiles.

Qué hace Wireshark y por qué sigue siendo una referencia

Wireshark es un analizador de protocolos de red de código abierto. Yo lo uso cuando necesito ver tráfico real, no hipótesis: un handshake TCP que no completa, consultas DNS que apuntan a dominios raros, retransmisiones que delatan pérdida o un servicio en claro que no debería estar expuesto.

La lógica de trabajo no cambia con cada versión: capturas tráfico, lo desglosas por capas y filtras el ruido para quedarte con lo que importa. Esa base compensa incluso si más adelante pasas a otras herramientas complementarias.

Con esa base, el siguiente paso útil es capturar poco y con intención, no abrir el programa y dejarlo registrar tráfico sin control.

Cómo hacer tu primera captura sin ruido

Yo empiezo siempre con una regla simple: una sola interfaz, una ventana de tiempo corta y un objetivo claro. Si no sabes qué quieres demostrar, la captura se vuelve ruido muy rápido.

1. Elige la interfaz correcta. En un portátil suele ser la Wi-Fi o el adaptador Ethernet activo; si usas VPN, revisa también la interfaz virtual porque puede cambiar el camino real del tráfico.
2. Limita la duración. Para una primera práctica, 2 a 5 minutos bastan. En una red movida, 15 minutos ya te obligan a filtrar mucho más.
3. Genera tráfico conocido. Abre una web, consulta DNS o haz una petición a un servicio de tu laboratorio para tener una referencia clara.
4. Etiqueta el archivo. Guarda la captura en pcapng y ponle una nota con fecha, interfaz y objetivo. Ese hábito ahorra tiempo cuando comparas resultados.
5. Trabaja con permiso. En hacking ético esto no es un detalle burocrático: define qué puedes capturar, cuánto tiempo y en qué red.

Si haces esto bien, la primera captura ya te sirve para aprender algo medible, no solo para "ver paquetes". Con esa base, el siguiente paso es entender qué te está diciendo cada panel del programa.

Cómo leer una captura como un analista

La pantalla de Wireshark parece densa al principio, pero yo la leo siempre en el mismo orden. Primero busco señales rápidas en la lista de paquetes; después bajo al detalle del frame; y solo al final me meto en los bytes crudos si necesito verificar un campo exacto.

Cuando necesito ir más lejos, uso seguir el flujo TCP para reconstruir una conversación y comprobar si la aplicación se corta, responde tarde o intercambia mensajes en un orden raro. También miro las estadísticas de conversaciones y extremos, porque me ayudan a ver si un host está hablando demasiado con un destino concreto.

Un detalle que muchos pasan por alto: un handshake TCP normal son 3 paquetes, así que si ves muchos SYN sin su ACK correspondiente, ya tienes una pista seria. No prueba por sí solo un ataque, pero sí te obliga a investigar más.

Cuando ya sabes leer una traza, la siguiente mejora grande no es abrir más menús, sino recortar el ruido con filtros bien pensados.

Los filtros que de verdad ahorran tiempo

La diferencia entre filtros de captura y filtros de visualización parece menor hasta que trabajas con una red real. Yo los separo así: el primero decide qué se guarda; el segundo decide qué se ve. Mezclarlos es una de las formas más rápidas de complicarte el análisis.

Mis filtros de trabajo más habituales suelen ser estos:

• dns para quedarme con consultas y respuestas de nombres.
• ip.addr == 192.168.1.10 para seguir una máquina concreta.
• tcp.flags.syn == 1 && tcp.flags.ack == 0 para localizar inicios de conexión.
• tls.handshake.type == 1 para ver Client Hello.
• http.request para peticiones HTTP en claro.
• tcp port 443 en captura cuando quiero limitarme a HTTPS y reducir volumen desde el inicio.

Mi criterio es simple: si el filtro no me ayuda a responder una pregunta concreta, no lo uso. Esa disciplina evita capturas enormes que luego nadie termina de leer.

Qué buscar en escenarios reales de hacking ético

En hacking ético, Wireshark brilla cuando conviertes observaciones vagas en evidencia concreta. Yo suelo revisar cuatro escenarios: DNS, TCP, TLS y protocolos en claro. Son casos distintos, pero todos dejan una huella reconocible.

Hay un límite importante: si el tráfico va cifrado, Wireshark no te va a regalar el contenido por arte de magia. Sin claves, sin acceso al extremo o sin un laboratorio preparado para ello, lo que verás será sobre todo metadatos, tiempos y patrones de conexión. Y eso ya es muy útil, pero hay que entender hasta dónde llega.

En una auditoría bien hecha, esos patrones suelen bastar para justificar una revisión más profunda. La parte menos glamourosa, pero más útil, llega cuando reconoces qué no encaja con el comportamiento normal.

Errores frecuentes y límites reales de la herramienta

La mayoría de los errores que veo no son técnicos, sino de método. La gente captura demasiado, compara demasiado poco y saca conclusiones antes de tener una línea base.

• Capturar en la interfaz equivocada. Parece obvio, pero ocurre mucho cuando hay VPN, Docker o varias tarjetas activas.
• Dejar la captura abierta demasiado tiempo. Cuanto más dura, más ruido y más falsa sensación de complejidad.
• Confundir correlación con causa. Ver retransmisiones junto a latencia no siempre significa que la red sea el único problema.
• Esperar ver lo que está cifrado. TLS, QUIC y otros protocolos modernos limitan lo que puedes inspeccionar sin claves o contexto adicional.
• Ignorar el entorno Wi-Fi. Sin modo monitor y sin hardware compatible, lo que capturas puede ser parcial.
• Olvidar el reloj. Si los equipos no están bien sincronizados, la secuencia temporal engaña más de lo que ayuda.

También hay límites físicos y de diseño: Wireshark solo analiza lo que tu equipo consigue ver. No ve paquetes que no pasan por tu punto de captura, no arregla una red mal segmentada y no sustituye a herramientas pensadas para detección continua. En cambio, sí te ayuda a probar hipótesis con mucha precisión.

Con eso claro, el aprendizaje deja de depender de "saber usar el programa" y pasa a depender de cómo repites el proceso hasta que tus ojos distinguen lo normal de lo raro.

El siguiente hábito que más acelera el aprendizaje

Si yo tuviera que resumir el siguiente paso, sería este: repite la misma captura tres veces con objetivos distintos. Una vez para DNS, otra para la conexión TCP y otra para una sesión TLS o HTTP en tu laboratorio. Esa repetición te enseña a leer una traza mucho más rápido que cualquier memorización de menús.

• Primero, compara una captura limpia con otra llena de tráfico para notar qué cambia.
• Después, usa filtros cada vez más específicos hasta quedarte con 20 a 50 paquetes relevantes.
• Más adelante, combina Wireshark con TShark o tcpdump si quieres automatizar partes del proceso.

Cuando dominas esa rutina, Wireshark deja de ser una ventana llena de paquetes y se convierte en una herramienta de diagnóstico serio: te dice qué ocurre, dónde ocurre y qué evidencia tienes para explicarlo sin adivinar.