Wireshark

Wat is Wireshark?

Wireshark is een gratis, open-source protocolanalyzer die netwerkverkeer pakket voor pakket vastlegt en elk pakket ontleedt tot op het niveau van de afzonderlijke protocolvelden. Het programma herkent zo’n 3.000 protocollen, waaronder vrijwel alle protocollen die in industriële automatisering worden gebruikt. Daarmee ziet u precies wat een PLC, HMI of SCADA-server over het netwerk zegt, en wat niet.

In OT-netwerken is Wireshark het standaardgereedschap voor troubleshooting, protocolanalyse en securityonderzoek, bijvoorbeeld bij problemen met Modbus TCP, ProfiNET, OPC UA of ARP.

🕰️ Waar komt Wireshark vandaan?

Gerald Combs bracht het programma in 1998 uit onder de naam Ethereal. Hij schreef het bij zijn toenmalige werkgever Network Integration Services (NIS), dat ook het merk Ethereal bezat. Toen Combs in 2006 naar een ander bedrijf overstapte, kon hij die naam niet meenemen, en daarom ging het project in mei 2006 verder als Wireshark. Sindsdien is het uitgegroeid tot een van de meest gebruikte netwerkanalyzers ter wereld.

Wireshark valt onder de GPL-licentie (versie 2 of later): gebruik is gratis, ook commercieel, en de broncode is openbaar.

🧠 Hoe werkt Wireshark?

1. Vastleggen - Wireshark luistert via een capture-bibliotheek (libpcap op Linux en macOS, Npcap op Windows) naar een netwerkinterface. Het eigenlijke vastleggen doet het hulpprogramma dumpcap, zodat de grafische interface zelf geen beheerdersrechten nodig heeft.
2. Ontleden - per protocol zet een dissector de ruwe bytes om in benoemde velden, laag voor laag zoals in het OSI-model: Ethernet, IP, TCP of UDP, en daarboven het applicatieprotocol.
3. Weergeven in drie panelen:

• Pakketlijst - tijd, bron, bestemming, protocol en korte samenvatting
• Pakketdetails - de ontlede boomstructuur per protocollaag
• Pakketbytes - de ruwe inhoud in hex en ASCII

4. Filteren en analyseren - met filters, statistieken (Conversations, Endpoints, Protocol Hierarchy, I/O Graph) en Expert Information, die afwijkingen als hertransmissies en foutcodes markeert.
5. Opslaan en delen - standaard in het formaat pcapng; daarnaast .pcap en export naar CSV, JSON, XML of platte tekst.

Wireshark draait op Windows, Linux, macOS en BSD en legt verkeer vast op Ethernet- en draadloze interfaces, zoals Wifi. Voor servers zonder scherm is er TShark, de commandoregelversie met dezelfde dissectors en filters.

🔍 Wat is het verschil tussen capture- en displayfilters?

Wireshark kent twee soorten filters die vaak door elkaar worden gehaald:

Een praktische regel: gebruik een capturefilter alleen om het datavolume te beperken op een druk netwerk, en doe de echte analyse met displayfilters. Wat u met een capturefilter weggooit, krijgt u later niet terug.

🏭 Welke industriële protocollen herkent Wireshark?

Wireshark bevat standaard dissectors voor de belangrijkste OT-protocollen. Het displayfilter is de korte naam waarmee u het protocol selecteert.

Niet alles zit erin: het nieuwere S7CommPlus van Siemens (S7-1200 en S7-1500) heeft geen ingebouwde dissector en vraagt een plug-in van derden. Versleuteld verkeer, zoals OPC UA met signing and encryption of TLS, toont alleen de buitenkant van de verbinding, tenzij u over de sleutels beschikt.

🔧 Hoe zet u Wireshark veilig in op een OT-netwerk?

Een goede opname begint bij de aansluiting, niet bij het programma.

1. Kies het meetpunt - gebruik een SPAN-poort op een beheerde switch of een passieve netwerk-TAP. Een TAP kopieert ook foutieve frames en laat geen pakketten vallen bij piekbelasting; een SPAN-poort is goedkoper maar kan dat wel.
2. Zet de analysepoort alleen-lezen - de laptop luistert, maar zendt niets het procesnetwerk in. Een besturingssysteem verstuurt uit zichzelf al snel DHCP-, IPv6- of NetBIOS-verkeer; geef de capture-interface daarom geen IP-adres en schakel de protocollen erop uit.
3. Controleer dat netwerknaamresolutie uit staat - staat die optie aan, dan verstuurt Wireshark DNS-vragen om IP-adressen te vertalen; op een OT-netwerk is dat ongewenst verkeer.
4. Gebruik een ringbuffer bij lange opnames - laat dumpcap bijvoorbeeld wisselen naar een nieuw bestand per 100 MB, zodat een sporadische storing van dagen geleden nog terug te vinden is.
5. Filter gericht - ip.addr == 192.168.0.10 beperkt de weergave tot één apparaat, modbus.func_code == 6 toont schrijfopdrachten naar één register, s7comm.param.func laat lees- en schrijfacties naar een S7-PLC zien en tcp.analysis.retransmission wijst op een overbelaste of storende verbinding.
6. Leg vast en bewaar - noteer meetpunt, tijdstip en doel, en bewaar de pcapng-opname met een hashwaarde als die als bewijs kan dienen.

🛠️ Waarvoor gebruikt u Wireshark in de praktijk?

• Communicatie tussen PLC, HMI en SCADA - controleren of een poll aankomt, hoe lang het antwoord duurt en welke foutcode terugkomt
• Netwerkstoringen - verkeerd BOOTP/DHCP-gedrag, dubbele IP-adressen en ARP-conflicten opsporen
• Modbus-diagnose - exception codes en timeouts in Modbus TCP-verkeer begrijpen
• Tijdsynchronisatie - NTP- en PTP-berichten controleren op juiste bron en interval
• Onbekende apparaten - nieuwe MAC-adressen, SNMP-verkeer en onverwachte protocollen herkennen als aanvulling op een asset-inventaris
• Beveiligingsonderzoek - ARP Spoofing, Man-In-The-Middle-aanvallen of poortscans zichtbaar maken als onderdeel van cybersecurity-onderzoek

Wireshark is vaak de eerste tool die wordt ingezet bij een incident op een OT-netwerk: het laat zien wat er werkelijk over de draad gaat, los van wat documentatie of configuratie beweert.

🔄 Hoe verhoudt Wireshark zich tot tcpdump en OT-monitoring?

Wireshark is dus geen IDS: het waarschuwt niet uit zichzelf. Voor doorlopende netwerkmonitoring gebruikt u passieve monitoring-platforms en een SIEM; Wireshark is het vergrootglas waarmee u een melding uit die systemen tot op pakketniveau onderzoekt.

🔐 Waar moet u op letten bij beveiliging en privacy?

• Alleen met toestemming - gebruik Wireshark uitsluitend op netwerken waarvoor u geautoriseerd bent en stem een opname af met de eigenaar van de installatie
• Gevoelige inhoud - opnames kunnen wachtwoorden, PLC-commando’s en procesdata bevatten; IP-adressen en gebruikersnamen kunnen persoonsgegevens zijn onder de AVG
• De tool zelf is aanvalsoppervlak - dissectors verwerken onbetrouwbare invoer en kennen regelmatig kwetsbaarheden; houd Wireshark actueel en draai de interface niet als beheerder
• Bewijswaarde - bij incidentrespons en forensisch onderzoek onder NIS2 en de Cyberbeveiligingswet (meldtermijnen van 24 en 72 uur) is een ongewijzigde, gehashte opname waardevol
• Opruimen - bewaar opnames versleuteld, beperk de toegang en verwijder ze zodra de analyse klaar is

❓ Veelgestelde vragen

Is Wireshark gratis?

Ja, Wireshark is gratis en open source onder de GPL-licentie. U mag Wireshark ook commercieel en binnen bedrijfsnetwerken gebruiken zonder licentiekosten.

Kan Wireshark een industrieel proces verstoren?

Wireshark luistert passief en verstuurt zelf geen procesverkeer, maar ingeschakelde netwerknaamresolutie kan wel DNS-vragen genereren. Daarnaast kan een verkeerd ingestelde SPAN-poort een switch extra belasten, dus gebruik bij voorkeur een TAP of alleen-lezen analysepoort en schakel naamresolutie uit.

Kan Wireshark Siemens S7-verkeer lezen?

Wireshark ontleedt het klassieke S7comm-protocol van Siemens op TCP-poort 102 met het displayfilter s7comm. Voor het nieuwere, beveiligde S7CommPlus van de S7-1200 en S7-1500 heeft Wireshark geen ingebouwde dissector en is een plug-in van derden nodig.

Wat is het verschil tussen Wireshark en tcpdump?

Wireshark is een grafische protocolanalyzer met diepe ontleding van circa 3.000 protocollen, tcpdump is een lichtgewicht commandoregeltool om verkeer vast te leggen. Beide gebruiken dezelfde BPF-syntax voor capturefilters, en een tcpdump-opname opent u later gewoon in Wireshark.

Is Wireshark een vervanging voor een IDS?

Nee, Wireshark is een analysetool voor handmatig onderzoek en geeft geen automatische alarmen. Een IDS of OT-monitoringplatform bewaakt het netwerk continu; Wireshark gebruikt u om meldingen daarvan op pakketniveau te onderzoeken.

Welk bestandsformaat gebruikt Wireshark?

Wireshark slaat opnames standaard op in pcapng, dat naast de pakketten ook interface-informatie en commentaar bewaart. Het oudere pcap-formaat wordt nog volledig ondersteund en is uitwisselbaar met tcpdump en de meeste andere tools.

📌 Samengevat

Wireshark is de gratis standaardtool om netwerkverkeer tot op veldniveau te ontleden, en in OT-netwerken het vergrootglas voor storingen en securityincidenten.

Met circa 3.000 dissectors, waaronder Modbus TCP, S7comm, PROFINET, DNP3, IEC 60870-5-104 en GOOSE, maakt Wireshark zichtbaar wat PLC’s, HMI’s en SCADA-systemen werkelijk met elkaar uitwisselen. Sluit het passief aan via een TAP of SPAN-poort, schakel naamresolutie uit, gebruik displayfilters voor de analyse en behandel opnames als gevoelige gegevens. Voor continue bewaking vult Wireshark een IDS of OT-monitoringplatform aan, maar vervangt het dat niet.