Python ile PCAP Dosyalarını Okuma: Adım Adım Rehber

Giriş: PCAP Nedir ve Neden Önemlidir?

Packet Capture (PCAP) dosyaları, ağlarda gerçekleşen veri paketlerini kaydetmek için kullanılan bir dosya formatıdır. Bu dosyalar, ağ yöneticileri ve güvenlik uzmanları tarafından, ağ trafiğini analiz etmek, güvenlik ihlallerini tespit etmek ve performans sorunlarını anlamak amacıyla sıklıkla kullanılır. Python, veri analizi ve işleme konusunda güçlü kütüphanelere sahip bir programlama dili olduğu için, PCAP dosyalarını okumak ve analiz etmek için ideal bir seçimdir.

Bu yazıda, Python kullanarak PCAP dosyalarını nasıl okuyabileceğinizi, hangi kütüphaneleri kullanabileceğinizi ve bu verilerle nasıl işlemler yapabileceğinizi adım adım inceleyeceğiz. Amacımız, hem yeni başlayanlar hem de deneyimli geliştiriciler için anlaşılır bir kılavuz sunmaktır.

PCAP dosyalarını okuma becerisi, günümüz dijital dünyasında son derece önemlidir. Ağ analizinin yanı sıra, bu dosyalar aracılığıyla kötü amaçlı yazılımları tespit edebilir, ağların performansını değerlendirebilir ve çeşitli güvenlik testleri gerçekleştirebilirsiniz. Şimdi, bu dosyaları Python ile nasıl okuyabileceğimize bakalım.

PCAP Dosyalarını Okumak İçin Gereken Kütüphaneler

Python ile PCAP dosyalarını okumak için en yaygın kullanılan kütüphane, Scapy‘dir. Scapy, ham paket verilerini oluşturmanıza, analiz etmenize ve manipüle etmenize olanak tanır. Ayrıca Sniffing, fuzzing ve protokol analizi gibi işlemleri gerçekleştirme kapasitesine sahiptir. Scapy, birçok ağ veri formatını destekler ve geniş bir topluluk tarafından sürekli olarak geliştirilir.

Bunun yanı sıra, Pyshark kütüphanesi de PCAP dosyalarını okumak için oldukça kullanışlıdır. Pyshark, Wireshark’ın bir Python sarmalayıcısıdır ve detaylı paket analizi yapmanıza olanak tanır. PCAP dosyalarını okuyup analiz etmek için her iki kütüphaneyi de kullanabiliriz.

Bu bölümde Scapy ve Pyshark kullanarak basit bir örnek ve kurulum detaylarına geçebiliriz. Uygulamalarımızda bu kütüphanelerin hangi durumlarda daha etkili olduğunu da ele alacağız.

Scapy ile PCAP Dosyası Okumak

Öncelikle Scapy kütüphanesini projemize dahil etmemiz gerekiyor. Scapy’yi yüklemek için terminalde aşağıdaki komutu kullanabilirsiniz:

pip install scapy

Yükleme tamamlandıktan sonra, PCAP dosyasını okumak için gereken basit bir kod örneği oluşturalım. Aşağıdaki kod, bir PCAP dosyasındaki paketleri okur ve ilk paketi ekrana yazdırır:

from scapy.all import *

captured_packets = rdpcap('örnek.pcap')

print(captured_packets[0])

Bu kod parçası, Scapy kütüphanesinin rdpcap fonksiyonu aracılığıyla belirtilen PCAP dosyasını okur ve tüm paketleri captured_packets adlı değişkende saklar. Daha sonra, bu değişken içindeki ilk paketi ekrana yazdırır.

PCAP dosyasındaki tüm paketleri analiz etmek için bir döngü kullanabiliriz. Aşağıda, dosyadaki her paketin bazı temel bilgilerini nasıl alabileceğinizi gösteren bir örnek bulabilirsiniz:

for packet in captured_packets:
    print(packet.summary())

Bu döngü, her bir paketin kısa özetini konsola yazdırır. Bu sayede, dosya içindeki belirli paketlerin hızla gözden geçirilmesi mümkün olur.

Pyshark ile PCAP Dosyası Okumak

Diğer bir alternatif olarak Pyshark kütüphanesini kullanarak PCAP dosyalarını okuma işlemini gerçekleştirebiliriz. Pyshark, daha kullanıcı dostu bir API sunarak paketlerin detaylı analizini yapmamıza olanak tanır. Pyshark’ı kurmak için terminalde aşağıdaki komutu çalıştırabilirsiniz:

pip install pyshark

Yükledikten sonra, bir PCAP dosyasını okumak ve içindeki paketleri analiz etmek için aşağıdaki gibi bir kod örneği kullanabilirsiniz:

import pyshark

cap = pyshark.FileCapture('örnek.pcap')

for packet in cap:
    print(packet)
    print('Source IP:', packet.ip.src)
    print('Destination IP:', packet.ip.dst)

Bu örnekte, FileCapture yöntemi ile belirtilen PCAP dosyasını okuyoruz. Her paketi döngü ile geçerken, kaynak ve hedef IP adreslerini ekrana yazdırıyoruz. Pyshark, paket analizi konusunda son derece detaylı bilgi sunar ve kullanıcıların işine yarayacak pek çok özellik barındırır.

Pyshark ayrıca, Wireshark’ın sağladığı filtreleme imkanlarını da desteklediği için, belirli kriterlere göre paketleri filtrelemek oldukça basittir. Aşağıdaki örnekte, sadece TCP paketlerini nasıl filtreleyeceğinizi görebilirsiniz:

tcp_packets = pyshark.FileCapture('örnek.pcap', display_filter='tcp')

Bu kod, yalnızca TCP protokolüne ait paketleri çeken bir filtre uygular. Bu sayede, analiz işleminiz daha verimli hale gelir.

PCAP Verilerini Analiz Etme

Artık PCAP dosyalarımızı okuyabildiğimize göre, veriler üzerinde analiz yapma aşamasına geçebiliriz. Analiz yapmak için bazı temel istatistikler çıkarabilir ve ağ trafiğini anlayabiliyoruz. Örneğin, belirli bir süre zarfındaki toplam paket sayısını, farklı protokollerin kullanım oranlarını ve veri hacmini belirleyebiliriz.

Aşağıda, toplam paket sayısını hesaplayan basit bir örnek verilmiştir:

total_packets = len(captured_packets)
print('Toplam Paket Sayısı:', total_packets)

Bu kod parçası, dosyadaki toplam paket sayısını hesaplamaktadır. Çok sayıda paket üzerinden analize dayalı bir istatistik oluşturmak için, örneğin protokol dağılımını hesaplamayı da düşünebilirsiniz:

protocol_counts = {}  

for packet in captured_packets:
    protocol = packet.getlayer(0).name
    if protocol in protocol_counts:
        protocol_counts[protocol] += 1
    else:
        protocol_counts[protocol] = 1

print('Protokol Dağılımı:', protocol_counts)

Bu örnekte her paketin protokolünü alıyor ve bu protokolün daha önce hesaplanmış olup olmadığını kontrol ediyoruz. Eğer varsa, sayısını artırıyoruz; yoksa yeni bir giriş ekliyoruz. Sonuç olarak, belirli protokollerin dosya üzerindeki dağılımını görebiliriz.

Sonuç: Kendi PCAP Analiz Araçlarınızı Geliştirme

Bu yazıda, Python kütüphaneleri kullanarak PCAP dosyalarını okumayı ve analiz etmenin temellerini öğrendik. Scapy ve Pyshark gibi kütüphaneler, ağ analizi konusunda güçlü araçlar sunmakta ve bu alanda çalışmalarınızı kolaylaştırmaktadır. Kendi PCAP analiz araçlarınızı geliştirebilir, daha karmaşık analizler yapabilir ve ağ trafiğinizi inceleyebilirsiniz.

Öğrendiğiniz bu tekniklerle, Cyber Security alanında daha fazla bilgi edinebilir, ağ güvenliği denetimlerinizi gerçekleştirebilir ve sistemlerinizin güvenliğini artırabilirsiniz. Daha fazla uygulama yaparak, PCAP dosyalarının derinliklerine inebilir ve bu bilgilerle ağlarınızı daha iyi anlayabilirsiniz.

Son olarak, Python ile PCAP dosyası okuma becerilerinizi geliştirdikçe, topluluğun bir parçası olmayı unutmayın. Kendi deneyimlerinizi paylaşabilir, başkalarına yol gösterebilir ve bilgi birikiminizi güçlendirebilirsiniz. Tekrar hatırlatmak gerekirse, her zaman denemeye ve yeni şeyler öğrenmeye açık olun!