Анализатор PCAP

Перетащите захват пакетов — .pcap или .pcapng — и получите картину первых десяти минут: разговоры, которые перенесли байты, каждый DNS-вопрос и ответ, HTTP-запросы открытым текстом, имена TLS-серверов и отпечатки JA3, а также короткий список учётных данных, пересёкших сеть без шифрования. Файл никогда не покидает ваше устройство: он разбирается на этой странице, а не загружается, потому что захват — это улика, а улики не публикуют на чужих серверах.

Или перетащите файл в любое место этого блока. Разбор идёт порциями с индикатором прогресса, поэтому захват в несколько мегабайт не заморозит вкладку.

Для чего нужны первые десять минут

Захват обычно снимают в спешке — что-то медленно, что-то говорит не с тем местом, что-то подозрительно — и открывают под давлением. Порядок вопросов важнее любого отдельного ответа. Начните с разговоров: отсортированные по байтам, они говорят, кто на самом деле использовал сеть в этом окне, и сюрприз обычно виден сразу — рабочая станция в долгом разговоре с адресом, которого никто не узнаёт, сервер, отправляющий гораздо больше, чем скачивает, протокол, которого вообще не должно быть. Затем DNS, потому что имена — это намерение: запросы, которые сделал хост, — самое близкое, что есть у захвата к истории посещений того, к чему он пытался добраться, а ответы привязывают эти имена к адресам на момент захвата, а не к тому, как DNS разрешает их сегодня. Затем метаданные TLS: шифрование скрывает содержимое, а не существование — имена SNI и отпечатки JA3 всё ещё говорят, к каким службам обращались и какого рода клиентское ПО установило соединение. Наконец, сюрпризы открытым текстом: HTTP-запросы и предупреждения об учётных данных, потому что в 2026 году любой пароль, пересекающий сеть в виде, читаемом пассивным наблюдателем, сам по себе является инцидентом, каков бы ни был исходный вопрос. Сопутствующее руководство, первые десять минут с захватом пакетов, проходит этот порядок как рабочий процесс, включая то, когда прекратить разбор и вместо этого открыть Wireshark.

Три честных ограничения определяют, что утверждает эта страница. Она не собирает заново TCP-потоки — она читает пакеты по одному и объединяет их в потоки, поэтому HTTP-запрос или ClientHello, которые захват разделил на сегменты, могут быть пропущены; захваты, снятые на хосте (а не на отводе), также показывают артефакты разгрузки сегментации — оговорку, которую объясняет руководство. Она ничего не расшифровывает: вставить журнал ключей некуда, намеренно, потому что журналы ключей относятся к самым чувствительным файлам из существующих и им не место на веб-странице. А её список учётных данных — это набор распознанных шаблонов, а не аудит: отсутствие предупреждения — не доказательство отсутствия. Что она гарантирует, так это направление потока данных: ваш захват читается кодом, выполняющимся во вкладке вашего браузера, и никогда не загружается, не записывается и не передаётся, поэтому сам разбор не может стать утечкой. Для захватов, начинающихся на работающем сервере, сканер портов показывает, что хост открывает наружу, а анализатор заголовков почты покрывает другой файл, прибывающий во время инцидента, — само подозрительное сообщение.

Часто задаваемые вопросы

Куда уходит мой файл захвата?

Никуда. Файл читается и разбирается на этой странице, на вашем устройстве, и ничего не загружается, не передаётся и не сохраняется — страница не делает сетевых запросов, когда анализирует файл. Это намеренное решение, потому что захват пакетов — один из самых чувствительных файлов в сети: он содержит внутренние адреса, имена хостов и — в протоколах открытым текстом — буквальные учётные данные. Он также работает офлайн после загрузки страницы, а именно там захват обычно и читают: на машине, которая его сняла, часто во время инцидента.

Какие форматы захвата и типы канала поддерживаются?

Классический PCAP в любом порядке байтов, с метками времени в микросекундах или наносекундах, и PCAPNG — блоки разделов, интерфейсов, расширенных и простых пакетов, плюс блоки разрешения имён, чьи записанные имена показаны в сводке. Типы канала: Ethernet (включая кадры с тегами VLAN), сырой IP, петля BSD и Linux cooked SLL и SLL2. Декодируются IPv4 и IPv6, TCP, UDP и ICMP. Другие типы канала подсчитываются в составе протоколов, но не декодируются, и сводка говорит об этом, а не молчит.

Чего он не может?

Три ограничения, сказанные прямо. Он не собирает заново TCP-потоки — анализ идёт по пакетам плюс агрегация по потокам, поэтому ClientHello или HTTP-запрос, разделённые на сегменты, могут быть пропущены. Он не может ничего расшифровать: TLS и остальной зашифрованный трафик дают только метаданные (имя сервера, ALPN, JA3), никогда содержимое. А его находки учётных данных — это наблюдения, а не справка о здоровье: он отмечает шаблоны открытым текстом, которые распознаёт (HTTP Basic, FTP, SMTP AUTH, POP3, IMAP, telnet), и отсутствие отметки ничего не доказывает о протоколах, которые он не проверяет. Для глубокой работы — следования за потоками, диссекторов протоколов, расшифровки с журналами ключей — используйте Wireshark; эта страница — первые десять минут, а не всё расследование. Сопутствующее руководство, первые десять минут с захватом пакетов, излагает этот порядок разбора.

Что такое отпечаток JA3, показанный для TLS-соединений?

JA3 — стандартный способ отпечатка TLS-клиента по его ClientHello: версия TLS, наборы шифров, расширения, эллиптические кривые и форматы точек, перечисленные по порядку десятичными числами (со снятыми значениями GREASE), соединённые в одну строку и хэшированные MD5. Два клиента с одной библиотекой и настройками дают одинаковый JA3; у сканера или семейства вредоносного ПО часто есть характерный. Он определяет привычки клиентского ПО, а не пользователя, и меняется при обновлении библиотек — относитесь к нему как к подсказке для группировки, а не как к идентичности.

Какой захват я могу открыть?

Файлы до 25 МБ. Этот потолок намеренный: весь файл плюс структуры анализа живут в памяти вашей вкладки, и настольный браузер справляется с этим удобно, а телефон может не справиться. В тестах захват на 10 МБ с примерно 90 000 пакетов разбирался примерно за секунду. Для большего сначала фильтруйте при съёмке или с помощью editcap/tcpdump на собственной машине — tcpdump -r big.pcap -w slice.pcap host 203.0.113.10 — и приносите срез сюда.