Wireshark mit Geo IP nachrüsten

Gerade für Systemadministratoren ist Wireshark ein geniales Tool, wenn es darum geht, den Netzwerkverkehr zu analysieren. Will man z.B. Angriffe auf die IT-Umgebung zurück zu verfolgen, kann es sehr sinnvoll sein, zu erfahren, woher der Angreifer kommt. Dazu rüsten wir Wireshark mit Geo IP nach.

Die Idee hinter Geo IP ist, zu jeder IP-Adresse zu ermitteln, wo diese geografisch zu lokalisieren ist. Es gibt nichts Wertvolleres, als Informationen zu haben, über Fremdzugriffe auf das eigene Netzwerk.
Oftmals sieht man eine IP und mittels Geo IP stellt sich heraus, das Microsoft bzw. ein Systemdienst von Windows dahinter steckt.

Hier bekommt man kostenlos aktuelle Geo IP-Datenbanken.  Zwar ist die Genauigkeit nicht mit professionellen Datenbanken zu vergleichen, aber für unsere Zwecke genügen diese vollkommen.

Nachdem wir die Geo IP-Datenbanken gedownloadet haben. Entpacken wir diese alle in das gleiche Verzeichnis. Dieses Verzeichnis müssen wir nun Wireshark mitteilen. Dazu starten wir Wireshark und gehen oben im Menü auf Preferences unter dem Punkt "Edit". Nun klicken wir den Punkt "Name Resolution" und dann unte rechts auf "Geo IP databases directory.

Hier hangeln wir uns zu unserem Verzeichnis, worin wir die Datenbanken entpackt haben, und bestätigen diesen Pfad.

Nachdem wir das getan haben, stehen uns nun die Funktionen von Geo IP innerhalb von Wireshark zur Verfügung. Eventuell muss die Geo IP-Funktion für das jeweilige Protokoll noch aktiviert werden. Siehe hier:

Wenn das alles geklappt hat, dann sehen wir nun hinter vielen IP-Adress-Einträgen die Location, von wo dieser Zugriff statt findet. Dazu müssen wir das Internet-Protokoll in der Detailansicht aufklappen.