Wireshark adalah packet analyzer open-source paling populer di dunia: ia "mendengarkan" traffic jaringan yang lewat pada interface, lalu menampilkannya paket demi paket dengan detail penuh - alamat MAC, IP, port, flag TCP, isi HTTP, query DNS, semuanya terbaca.

Posisinya di TKJ: setelah kamu tahu perangkat ada (NMAP) dan layanan berjalan, Wireshark menjawab pertanyaan paling dalam: apa yang SEBENARNYA dikirim dan diterima di kabel? Ini alat utama untuk:

• Troubleshooting: kenapa aplikasi lambat? (retransmission, DNS lambat, timeout?)
• Pembelajaran protokol: teori TCP/DNS/HTTP terasa abstrak - di Wireshark kamu MELIHAT handshake terjadi
• Keamanan: deteksi scan, brute force, trafik aneh - mata analisis SOC
• Forensik: rekonstruksi kejadian dari jejak paket

Turunan command-line-nya bernama tshark - logika filter dan struktur paketnya identik, sering dipakai di server tanpa GUI.

Batas yang wajib dipahami: Wireshark bisa melihat data sensitif (password HTTP tanpa enkripsi, token, isi chat). Karena itu capture hanya sah di jaringan sendiri atau dengan izin tertulis - detail di M08. Simulator ini menganalisis trafik virtual: nol paket dari jaringan sungguhan.

Teori model OSI yang dihafal di kelas menjadi LIRIHAN NYATA di panel detail Wireshark. Satu paket HTTP berisi:

Insight kunci: setiap lapisan "membungkus" lapisan di bawahnya (enkapsulasi). Paket DNS UDP juga punya Ethernet+IP+UDP; paket ARP berhenti di L2 (tidak punya IP header - makanya filternya berbeda).

Field yang paling sering dibaca analis:

• MAC - identitas perangkat DI SEGMENT LOKAL (berubah tiap hop)
• IP - identitas ujung-ke-ujung (tetap sepanjang jalur)
• TTL - sisa hop; 64 khas Linux, 128 khas Windows, 255 khas network device - petunjuk cepat OS lawan bicara
• Port - pintu aplikasi: 80 HTTP, 443 HTTPS, 53 DNS, 22 SSH

Latih matamu: pilih satu paket di simulator, buka setiap lapisan, dan petakan ke tabel OSI. Setelah itu membaca paket terasa seperti membaca surat berlapis amplop.

Inilah momen "akhirnya paham" bagi murid TKJ: teori three-way handshake yang dihafal ujian, terlihat langsung sebagai 3 baris paket:

Penutupan koneksi memakai FIN (empat langkah: FIN-ACK bolak-balik), dan RST adalah "gantung telepon kasar": koneksi dibatalkan seketika - muncul saat port ditolak, aplikasi crash, atau firewall menolak.

Seq dan Ack adalah penomoran byte: klien mengirim mulai byte Seq=X, server menjawab Ack=X+1 ("saya sudah terima sampai sini"). Naik-turunnya angka ini menunjukkan siapa mengirim data ke siapa - kunci membaca arus percakapan.

Tanda bahaya yang dicari analis:

• TCP Retransmission - paket dikirim ulang: tanda loss atau jalur lambat
• RST beruntun ke satu tujuan - indikasi scan atau port ditolak
• SYN tanpa penyelesaian berulang ke satu port dari satu sumber - SYNFlood atau scan
• Satu IP -> banyak port dengan SYN beruntun - port scan klasik (lihat M06)

Di simulator: jalankan skenario WEB BROWSING, filter tcp, dan temukan ketiga paket handshake. Klik paket SYN, lalu paket SYN-ACK - bandingkan angka Seq/Ack-nya.

Empat protokol yang paling sering kamu lihat (dan ujikan):

DNS (UDP 53) - penerjemah nama ke IP. Query: "siapa google.com?" (Standard query 0x1a2b A google.com). Response: "google.com A 142.250.4.100" (Answer RRs: 1). Analisis penting: resolusi lambat di sini = semua browsing terasa lambat; domain aneh yang sering ditanya = indikasi malware beaconing.

HTTP (TCP 80) - teks polos dan telanjang. Request: GET / HTTP/1.1 Host: .... Response: HTTP/1.1 200 OK Server: nginx. Karena plaintext, password form tanpa HTTPS TERBACA UTUH di paket - pelajaran keamanan paling menggigit: itulah kenapa HTTPS wajib. HTTPS (TCP 443) hanya tampak sebagai TLS: isi terenkripsi, tapi SNI di Client Hello masih membocorkan domain yang dituju.

ARP (Layer 2) - pencari MAC di LAN: "Who has 192.168.10.1? Tell 192.168.10.50" dijawab "192.168.10.1 is-at 0c:5b:8f:1a:2b:01". ARP bekerja tanpa IP header. Deteksi keamanan: JIKA SATU MAC menjawab who-has untuk BANYAK IP (atau untuk IP gateway), itu indikasi ARP spoofing / man-in-the-middle.

ICMP - Echo request/reply (ping), Destination unreachable, Time exceeded (traceroute). Berguna untuk diagnosa; ICMP flood beruntun = DoS sederhana.

Display filter menyaring PAKET YANG SUDAH TERCAPTURE (berbeda dari capture filter yang menyaring saat perekaman - lihat FAQ). Sintaksnya adalah skill inti yang membedakan pengguna kasual dan analis:

Operator: == sama, != tidak sama, > < untuk angka; logika && (and), || (or), ! (not). Nama field otomatis lengkap dengan Tab di Wireshark asli - dan bilah filter berwarna HIJAU jika sintaks valid, MERAH jika salah.

Resep praktis harian:

• Traffic satu host: ip.addr==192.168.10.10
• Cari awal koneksi: tcp.flags.syn==1 && tcp.flags.ack==0
• Cari penolakan: tcp.flags.reset==1
• Semua HTTP kecuali dari admin: http && ip.src!=192.168.10.5

Simulator ini memakai parser filter yang sama aturannya: bilah berubah hijau saat valid, merah + pesan saat tidak dikenal. Latih sampai filter jadi refleks, bukan hafalan.

Nilai terbesar Wireshark bagi keamanan: serangan selalu MENINGGALKAN JEJAK PAKET. Tiga pola yang wajib kamu kenali:

1. PORT SCAN - satu sumber mengirim SYN ke BANYAK PORT tujuan dalam waktu singkat:

• Filter: tcp.flags.syn==1 && tcp.flags.ack==0, lalu perhatikan satu IP sumber dengan tujuan port bervariasi (21,22,23,25,80,...)
• Balasannya bercerita: SYN-ACK = port terbuka; RST = tertutup; diam = filtered
• Setelah scan, sering disusul koneksi ke port yang ditemukan terbuka - itulah fase berikutnya

2. BRUTE FORCE SSH/RDP - banyak percobaan autentikasi ke satu port:

• Pola: banyak koneksi TCP port 22/3389 dari SATU sumber, beruntun dalam detik-menit
• Di paket SSH terlihat pesan auth gagal berulang (users berbeda-beda: root, admin, test)
• Filter: tcp.port==22 lalu cek kepadatan dari satu ip.src

3. ARP SPOOFING / MITM - pencurian arus di LAN:

• Filter: arp; cari gratuitous/unusual ARP reply: SATU MAC menjawab is-at untuk IP gateway
• Gejala lanjutan: semua traffic klien tiba-tiba melewati MAC yang sama sebelum keluar

Metodologi deteksi 4 langkah: 1) lihat STATISTIK protocol/conversations - apa yang tidak normal? (satu IP dominan?); 2) filter ke penyerang: ip.addr==x.x.x.x; 3) baca pola waktunya (teratur = scan/brute; acak = human); 4) dokumentasikan: IP sumber, target, waktu, jenis, bukti screenshot.

Jalankan skenario SERANGAN di simulator (SSH BRUTE FORCE & PORT SCAN), lalu cobalah menemukan polanya dengan filter - misi M7 dan M8 menuntut persis ini.

Capture tanpa metode = arsip noise. Dua workflow yang dipakai profesional:

A. TROUBLESHOOTING "INTERNET LAMBAT":

• 1. Capture saat masalah TERJADI (bukan sesudah)
• 2. Filter percakapan bermasalah: ip.addr==192.168.10.50 && tcp.port==80
• 3. Cari tanda klasik: Retransmission banyak = loss/jalur jelek; DNS lambat (jarak antara query dan response > 500ms) = DNS bermasalah; Zero Window = penerima kewalahan; TCP RST mendadak = aplikasi/firewall menutup
• 4. Kesimpulan berbasis bukti: "70% waktu terbuang di 3 retransmission ke server X" - bukan tebakan

B. FORENSIK INSIDEN:

• 1. Amankan bukti: simpan capture ke file (.pcapng) SEBELUM diutak-atik
• 2. Gambaran besar dulu: Statistics -> Conversations: siapa bicara dengan siapa, volume berapa
• 3. Persempit: filter waktu (frame.time >= "..."), host, protokol
• 4. Follow Stream percakapan penting; dokumentasikan nomor paket sebagai kutipan bukti
• 5. Timeline: kaitkan paket dengan log server (auth.log, access.log)

Kebiasaan emas: catat filter yang dipakai + jam + interface untuk SETIAP temuan. Analisis tanpa dokumentasi = opini; dengan dokumentasi = bukti.

Wireshark adalah alat paling transparan sekaligus paling sensitif di toolbox: ia melihat segalanya, termasuk yang bukan urusanmu.

Apa yang bocor di paket:

• HTTP tanpa enkripsi: password form, cookie sesi, isi pesan - TERBACA MENTAH
• FTP/Telnet/SMTP tanpa TLS: kredensial plaintext
• DNS: semua domain yang dikunjungi (profil aktivitas seseorang)
• TLS: isi terenkripsi, tapi SNI/SAN di handshake masih membocorkan nama domain

Aturan legal & etis:

• Capture di jaringan SENDIRI (rumah, lab pribadi, VM) - bebas
• Jaringan sekolah/kantor - izin pengelola, tujuan pembelajaran/audit, tanpa menyalahgunakan kredensial yang tersingkap
• Jaringan orang lain TANPA IZIN = intersepsi tanpa hak (UU ITE Pasal 29 & 30) - pidana
• Data pribadi yang tersingkap saat audit WAJIB dijaga kerahasiaannya - tidak dibagikan, tidak dipamerkan

Hygiene analis: simpan capture yang berisi data sensitif terenkripsi; anonimkan sebelum dibagikan (Wireshark punya fitur anonymize di versi baru, atau edit manual); hapus saat tak lagi diperlukan.

Kariernya: kemampuan packet analysis adalah inti peran NOC/SOC Analyst, Network Engineer senior, dan pentester. Jalan sertifikasi: CompTIA Network+ -> Security+ -> Wireshark Certified Network Analyst (WCNA) -> eJPT/OSCP.

Capture filter menyaring SAAT perekaman (sintaks BPF: host 192.168.10.10, port 80) - paket yang tidak cocok tidak pernah terekam, menghemat resource tapi buktinya hilang. Display filter menyaring HASIL rekaman (sintaks Wireshark: ip.addr==192.168.10.10, http) - semua paket tetap tersimpan, tampilan saja yang difilter. Praktik aman: capture seluas mungkin, analisis dengan display filter.

Karena TLS mengenkripsi payload aplikasi: isi request/response tersembunyi. Yang tetap terlihat: IP sumber/tujuan, port 443, handshake TLS, dan SNI (Server Name Indication) di Client Hello yang masih membocorkan domain yang dituju. Dekripsi hanya mungkin dengan kunci sesi (SSLKEYLOGFILE dari browser yang kamu kendalikan) - untuk debugging aplikasi milik sendiri, bukan milik orang lain.

Mode di mana NIC memproses SEMUA paket yang lewat di segmen, bukan hanya yang ditujukan ke MAC-nya. Di jaringan modern (switch), kamu tetap hanya menerima traffic broadcast + milikmu kecuali port mirroring diaktifkan - jadi "mata-mata" di switch tidak semudah dulu, tetapi di WiFi (monitor mode) atau hub lama, promiscuous menangkap banyak. Etisanya: mode ini untuk analisis jaringanmu sendiri.

WiFi menambah lapisan 802.11 (beacon, probe request, ACK radio, retransmission udara), channel hopping, dan trafik tetangga di channel sama. Paket rusak/terduplikasi lebih sering. Untuk pembelajaran protokol, mulailah di kabel (eth0) atau loopback (lo) yang bersih - persis seperti lab virtual ini.

RST = koneksi ditolak/dibatalkan seketika. Penyebab umum: port tidak ada aplikasinya (dijawab RST oleh OS), firewall menolak, aplikasi crash, atau klien membatalkan. Banyak RST beruntun ke satu target dari satu sumber = indikasi port scan; RST dari server saat koneksi hidup = aplikasi bermasalah. Filter: tcp.flags.reset==1.

Retransmission = paket yang sama dikirim ulang karena ACK balasan tidak sampai tepat waktu (loss atau delay). Sedikit itu normal; banyak dan terus-menerus = jalur bermasalah (kabel jelek, WiFi padat, link satupun penuh). Ini alat bukti nomor satu untuk komplain "internet lambat" - bukan rasa, tapi angka: filter tcp.analysis.retransmission.

Capture WiFi publik berarti melihat lalu-lalang data ORANG LAIN - secara hukum itu wilayah abu-abu yang mudah jatuh ke intersepsi tanpa hak, dan secara etika jelas salah. Selain itu banyak jaringan memakai client isolation sehingga kamu tak melihat traffic orang lain. Gunakan jaringan sendiri/lab untuk latihan; di WiFi publik, posisimu adalah pengguna yang melindungi diri (HTTPS, VPN), bukan pengamat.

TCPdump adalah versi command-line: ringan, tersedia di semua server, cocok untuk capture jarak jauh via SSH (tcpdump -i eth0 -w file.pcap). Wireshark adalah GUI analisisnya: filter interaktif, detail berlapis, follow stream, statistik. Alur profesional: capture di server pakai tcpdump -> bawa file .pcap -> analisis di Wireshark. Tshark = tcpdump dengan kekuatan filter Wireshark.

Boleh DENGAN IZIN pengelola jaringan (guru/tkementeri lab) - idealnya tertulis, mencantumkan waktu dan tujuan, dan di luar jam penting (ujian online). Yang WAJIB dijaga: data yang tersingkap (email, chat, kredensial aplikasi lama) tidak dibuka-ulang, tidak dibagikan, tidak dipakai. Tampilkan hasilnya sebagai laporan pembelajaran, bukan gosip. Izin + etika itulah yang membedakan analis dari pemanda.

Ya - misi selesai, XP, jumlah paket yang pernah kamu capture, dan skor kuis tersimpan di localStorage perangkat ini (prefix abr_wsh_). Tidak ada data yang dikirim ke mana pun. Catatan: isi capture itu sendiri sengaja tidak disimpan permanen (buffer hilang saat refresh) - layaknya capture sungguhan, bukti harus diekspor/Didokumentasikan saat masih ada.