Kaappausfilttereitä ei pidä sekoittaa näyttöfilttereihin (kuten tcp.port == 80). Edelliset ovat paljon rajoitetumpia ja niitä käytetään pakettikaappauksen koon pienentämiseen. Jälkimmäisiä käytetään piilottamaan joitain paketteja pakettilistalta.

Kaappausfiltterit asetetaan ennen pakettikaappausta eikä niitä voi muokata kaappauksen aikana. Näyttöfilttereillä ei kuitenkaan ole tätä rajoitusta, ja niitä voi muuttaa lennossa.

Löydät kaappausfiltterit esimerkiksi aloitusikkunasta, kuvan osoittamalla tavalla.

![](sanity:image-15b45552eddbc5ef98581aa772c5b0205714d158-1089x509-png)

### Esimerkkejä

Kaappaa vain liikenne joka tulee tai menee kyseiseen IP-osoitteeseen.

```sh
host 10.0.0.1
```

Kaappaa vain liikenne joka tulee tai menee kyseiseen IP-osoite alueeseen.

```sh
net 10.0.0.1/16
```

Kaappaa vain liikenne joka tulee kyseisestä IP-osoite alueesta.

```sh
src net 10.0.0.1/16
```

Kaappaa vain liikenne joka menee kyseiseen IP-osoite alueeseen.

```sh
dst net 10.0.0.1/16
```

Kaappaa vain DNS liikenne (portti 53).

```sh
port 53
```

Kaappaa liikenne liittyen tiettyyn osoitteeseen ja ei ole HTTP tai SMTP liikennettä.

```sh
host 192.168.1.10 and not port 80 and not port 25
```

Kaappaa liikenne, joka ei ole ARP tai DNS liikennettä.

```sh
port not 53 and not arp
```

Kaappaa TCP liikenne, joka liittyy tiettyyn portti alueeseen.

```sh
tcp portrange 5000-6000
```

Kaappaa vain IPv4 liikenne.

```sh
ip
```


Kaappausfiltterit - Capture filters

Wireshark on työkalu jota käytetään tietoliikenteen kaappaamiseen ja analysointiin. Työkalu on omiaan eri verkkoprotokollien oppimiseen ja tarvitset sitä usein myös CTF-kilpailuissa.

Wireshark on työkalu, jota käytetään tietoliikenteen kaappaamiseen ja analysointiin. Sen avulla voidaan tarkastella ja analysoida tietoliikennettä reaaliajassa tai tallennetuista PCAP-tiedostoista.

Wireshark pystyy purkamaan erilaisia verkkoprotokollia ja näyttämään yksityiskohtaisia tietoja jokaisesta verkkopaketista. Tietoturva-asiantuntijat voivat käyttää sitä havaitsemaan epäilyttävää tai haitallista verkkoliikennettä, kuten haittaohjelmien leviämistä, hyökkäyksiä tai tietojenkalastelua. Tarvitset sitä usein myös CTF-kilpailuissa.

Erityisesti Wireshark on omiaan verkkoprotokollien opetteluun. Voit vaikkapa käynnistää Wiresharkin, avata selaimen, käydä Hakatemian sivulla, ja nähdä sitten koko tapahtuman Wiresharkissa.

Tässä kurssissa opettelemme Wiresharkin perusteita, kuten liikenteen tallentamista, hakukentän käyttöä ja Wireshark -ohjelman statistiikan ymmärtämistä.

Kaappausfiltterit - Capture filters

Hakkeroinnin oppiminen alkaa tästä