Convertitore online gratuito da PCAP a CSV

Un foglio di calcolo, un sistema di reporting o uno script possono richiedere il traffico acquisito come righe e colonne anziché come traccia binaria dei pacchetti. La conversione dell’acquisizione in CSV estrae i campi selezionati per il filtraggio, la modifica, la condivisione o l’importazione in Excel, LibreOffice Calc, Python, R o un database.

Cos'è il formato PCAP

PCAP è un formato binario per l'acquisizione di rete che archivia i record dei pacchetti, i timestamp, le lunghezze acquisite e originali, un tipo di livello di collegamento e i byte acquisiti, quando disponibili. I byte possono contenere dati del collegamento, della rete, del trasporto e dell'applicazione, a seconda del punto di acquisizione e della lunghezza snap.

Wireshark, TShark, tcpdump, dumpcap, appliance di monitoraggio e sistemi di rilevamento delle intrusioni possono creare o scrivere file PCAP. Gli analisti di rete utilizzano le acquisizioni per la risoluzione dei problemi, l'analisi dei protocolli, le indagini sulle prestazioni, la risposta agli incidenti e la conservazione delle prove. Il formato correlato PCAPNG può inoltre archiviare più interfacce, commenti, dati di risoluzione dei nomi e altri metadati dell'acquisizione; le versioni attuali di Wireshark e TShark leggono generalmente entrambi i formati.

Le acquisizioni possono contenere credenziali, cookie, indirizzi IP, messaggi e altri payload riservati. Tratta un'acquisizione non sanificata come una prova sensibile.

Cos'è il formato CSV

CSV è testo semplice organizzato in record e campi, generalmente con un record per riga e virgole come separatori dei campi. Le virgolette gestiscono virgole, virgolette e altri caratteri all'interno dei valori dei campi, ma CSV non dispone di uno standard universale per delimitatori, codifica o tipi di dati.

Un CSV di riepilogo dei pacchetti può contenere numero del frame, timestamp, indirizzi di origine e destinazione, porte, protocollo e lunghezze dei pacchetti. Queste colonne sono utili per ordinare, filtrare, contare, creare grafici e importare in un database, e il risultato è spesso molto più piccolo dell'acquisizione originale. CSV non conserva i byte completi dei pacchetti, la gerarchia dei protocolli, lo stato del riassemblaggio, i metadati dell'acquisizione, i commenti o i dettagli dell'analisi che non sono stati esportati esplicitamente.

Utilizzo di TShark

TShark è l'analizzatore da riga di comando di Wireshark e offre un controllo ripetibile sulle colonne esportate. Installa Wireshark oppure installa il pacchetto TShark fornito dal sistema operativo. Esegui il comando da un terminale nella directory contenente l'acquisizione:

tshark -r capture.pcap -n -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e ipv6.src -e ipv6.dst -e tcp.srcport -e tcp.dstport -e udp.srcport -e udp.dstport -e _ws.col.Protocol -e frame.len -e frame.cap_len > packets.csv

-r legge l'input, -n disabilita la risoluzione dei nomi e -T fields scrive solo i campi richiesti. Le opzioni -E aggiungono un'intestazione, selezionano le virgole, racchiudono i valori tra virgolette doppie e mantengono il primo valore quando un campo compare più di una volta. frame.len è la lunghezza originale sul filo; frame.cap_len è il numero di byte acquisiti. Sostituisci capture.pcap con un nome file .pcapng quando necessario.

I campi che non si applicano a un pacchetto rimangono vuoti. Ad esempio, gli indirizzi IP sono assenti dal traffico non IP e le porte TCP sono assenti da UDP, ICMP e altri protocolli. Aggiungi campi specifici del protocollo con ulteriori opzioni -e, come dns.qry.name, http.request.method, tls.handshake.extensions_server_name o tcp.stream. Usa tshark -G fields per esaminare i nomi dei campi supportati dalla versione installata.

Per esportare solo i pacchetti che corrispondono a un filtro di visualizzazione di Wireshark, aggiungi -Y:

tshark -r capture.pcap -n -Y "dns or tcp.port == 443" -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e _ws.col.Protocol -e frame.len > filtered.csv

Usa uno stile di quoting appropriato alla shell su Windows o su un altro sistema operativo se il filtro contiene caratteri speciali. TShark è preferibile per file di grandi dimensioni, esportazioni ripetibili e script, perché lo schema è esplicito.

Utilizzo di Wireshark

1. Apri il file PCAP o PCAPNG con File → Open.
2. Inserisci un filtro di visualizzazione come dns, http, ip.addr == 192.0.2.10 o tcp.port == 443.
3. Configura le colonne dell'elenco dei pacchetti tramite Edit → Preferences → Appearance → Columns se le colonne predefinite non sono sufficienti. Aggiungi campi come numero del pacchetto, ora, origine, destinazione, protocollo e lunghezza.
4. Scegli File → Export Packet Dissections → As CSV. Nella finestra di dialogo di esportazione, seleziona i pacchetti visualizzati se il filtro deve limitare l'output.
5. Salva il file con un'estensione .csv e controllalo in un editor di testo o tramite un'importazione controllata prima di utilizzarlo.

L'esportazione grafica di Wireshark è adatta per un riepilogo occasionale dell'elenco dei pacchetti. Il suo output segue le colonne dell'elenco dei pacchetti, non tutti i campi analizzati. Usa TShark quando sono necessarie una selezione esatta dei campi o un'elaborazione batch ripetibile.

Utilizzo del convertitore online integrato

Puoi convertire gratuitamente il file su 101convert.com senza installare software: carica il file PCAP o PCAPNG, scegli CSV, avvia la conversione e scarica il risultato. 

Limiti di qualità e compatibilità

• Una lunghezza snap ridotta può lasciare nell'acquisizione solo intestazioni o payload parziali. CSV non può ripristinare byte che non sono mai stati acquisiti.
• La crittografia normalmente lascia disponibili indirizzi, porte, timestamp e metadati del protocollo, ma non il contenuto applicativo decrittografato.
• I campi ripetuti richiedono una decisione sullo schema. -E occurrence=f mantiene il primo valore; altre impostazioni di occurrence possono creare valori ripetuti o uniti da separatori che non si adattano a una semplice colonna di database.
• frame.time_epoch conserva un timestamp Unix numerico e i secondi frazionari in modo più affidabile rispetto a un'ora formattata secondo la lingua. Mantienilo quando l'ordine degli eventi è importante.
• Il software per fogli di calcolo può reinterpretare timestamp, interi lunghi, indirizzi IP e valori con zeri iniziali. Importa le colonne specificando esplicitamente i tipi testo, intero o data quando i valori esatti sono importanti.
• Le acquisizioni di grandi dimensioni possono generare milioni di righe e superare i limiti di righe dei fogli di calcolo. Filtra prima dell'esportazione oppure carica il CSV in un database, Python, R o un altro strumento di elaborazione dei dati.
• Conserva il PCAP o PCAPNG originale come origine dell'analisi. CSV è un riepilogo derivato e non è sufficiente per una rianalisi affidabile dei pacchetti.