La captura de paquetes (packet sniffing) consiste en interceptar y analizar el tráfico que circula por una red. Wireshark es el analizador de protocolos más usado: captura los paquetes y los muestra desglosados por capas (Ethernet, IP, TCP/UDP, aplicación).
Permite ver el detalle de cada comunicación: direcciones origen y destino, puertos, protocolos, banderas y, si el tráfico no está cifrado, también el contenido. Es una herramienta clave tanto para diagnóstico de red como para seguridad ofensiva y defensiva.
Conceptos básicos:
- Interfaz de captura → la tarjeta de red por la que se escucha (cableada, Wi-Fi).
- Modo promiscuo → la interfaz acepta también tráfico no destinado a ella.
- Filtros de captura → limitan qué se captura (ej.
tcp port 80). - Filtros de visualización → filtran lo ya capturado (ej.
http,ip.addr == 10.10.10.5).
Usos principales:
| Ámbito | Ejemplo |
|---|---|
| Diagnóstico | Detectar latencia, reenvíos, errores de conexión |
| Defensivo (Blue Team) | Identificar tráfico anómalo o malicioso |
| Ofensivo / aprendizaje | Capturar credenciales en claro, analizar protocolos |
| Forense | Reconstruir una sesión a partir de un .pcap |
Lección de seguridad clave: los protocolos sin cifrado exponen todo su contenido a quien capture el tráfico:
- HTTP, FTP, Telnet, POP3 → credenciales y datos visibles en texto plano.
- HTTPS, SSH, SFTP, FTPS → tráfico cifrado, ilegible para el sniffer.
Por eso el cifrado en tránsito (TLS) es esencial: convierte un sniffing exitoso en datos inútiles.
Aviso ético/legal: capturar tráfico de redes ajenas o sin autorización es ilegal. Practicar solo en redes propias o en entornos de laboratorio controlados.
La captura de paquetes aplica todo lo visto en OSI/TCP-IP, TCP/UDP y puertos: es donde la teoría de redes se vuelve visible y tangible.