Alles wat je computer over het netwerk verstuurt — elke website, elke chat, elke download — reist in kleine pakketjes data. Meestal zie je daar niets van. Maar met Wireshark kijk je rechtstreeks onder de motorkap: je ziet elk pakketje, waar het vandaan komt, waar het naartoe gaat en wat erin zit. Daarom is het dé standaard-tool voor netwerkanalyse, gebruikt door netwerkbeheerders, security professionals en ethische hackers. In deze beginnersgids leer je wat packet sniffing is, hoe Wireshark werkt, en hoe je het legaal en zinvol inzet.
Gratis: 9 pagina's uit het Pentest Playbook
Netwerkanalyse hoort bij elke pentest — download Fase 0 en 1: voorbereiding en het doelwit verkennen. Geen account, alleen je email.
Download de gratis sampleWat is Wireshark?
Wireshark is een gratis, open-source netwerk protocol analyzer. Het project bestaat sinds 1998 (toen nog onder de naam Ethereal) en wordt onderhouden door honderden vrijwilligers wereldwijd. De tool vangt netwerkverkeer op — dat heet een capture — en laat je elk individueel pakket bekijken, filteren en analyseren.
Waar gebruik je Wireshark voor?
- Netwerkproblemen oplossen - Waarom is de verbinding traag? Welke applicatie veroorzaakt al dat verkeer?
- Security analyse - Verdacht verkeer herkennen, zoals malware die "naar huis belt"
- Protocol-onderzoek - Zien hoe HTTP, DNS en TCP er in het echt uitzien
- Forensisch onderzoek - Achterhalen wat er precies over een netwerk is verstuurd tijdens een incident
- Leren - Geen betere manier om netwerken te begrijpen dan echt verkeer bekijken
Hoe Werkt Packet Sniffing?
Netwerkverkeer reist in lagen, netjes verpakt als een matroesjka-pop. Een pakket bevat van buiten naar binnen:
- Ethernet frame - Het fysieke adres (MAC) van de volgende hop
- IP-header - Bron- en bestemmings-IP-adres ("van wie, naar wie")
- TCP/UDP-header - Poortnummers ("naar welke applicatie")
- Payload - De daadwerkelijke data, bijvoorbeeld een stukje webpagina
Normaal verwerkt je netwerkkaart alleen pakketten die voor jouw computer bestemd zijn. In promiscuous mode geeft de kaart alles door wat hij ziet — en dat is precies wat Wireshark nodig heeft om mee te kijken.
De Wireshark Interface in 3 Panelen
Open je Wireshark en start je een capture, dan zie je drie panelen:
- Packet list (boven) - Elke regel is één pakket: tijdstip, bron, bestemming, protocol en samenvatting
- Packet details (midden) - De gelaagde opbouw van het geselecteerde pakket, uitklapbaar per protocol-laag
- Packet bytes (onder) - De rauwe data in hexadecimaal en als tekst
Een capture op een druk netwerk levert al snel duizenden pakketten per seconde op. Zonder filters verdrink je — en daarom zijn filters de belangrijkste Wireshark-vaardigheid die je kunt leren.
Display Filters: je Belangrijkste Gereedschap
Met display filters laat je alleen zien wat relevant is. Een paar voorbeelden die je dagelijks gebruikt:
| Filter | Wat laat het zien? |
|---|---|
ip.addr == 192.168.1.10 |
Al het verkeer van/naar dit IP-adres |
http |
Alleen onversleuteld webverkeer |
dns |
Alleen DNS-verzoeken ("welke domeinen worden opgezocht?") |
tcp.port == 22 |
SSH-verkeer (poort 22) |
tcp.flags.syn == 1 |
Verbindingspogingen — handig om poortscans te spotten |
tcp.flags.syn? Dat is dezelfde SYN uit de TCP three-way handshake die we uitleggen
in onze Nmap beginnersgids. Een poortscan in Wireshark herken je aan
honderden SYN-pakketten naar verschillende poorten in korte tijd — zo zie je een nmap-scan dus vanaf de
andere kant.
Verdacht Verkeer Herkennen
Waar let een security analist op tijdens een capture? Dit zijn de klassieke rode vlaggen:
- Poortscans - Eén bron-IP dat in seconden tientallen poorten probeert. In de packet list zie je een waterval van SYN-pakketten zonder voltooide handshakes.
-
Ongebruikelijke DNS-verzoeken - Malware gebruikt vaak DNS om commando's op te halen.
Lange, willekeurig ogende subdomeinen (
x7f2a9.kwaadaardig-domein.com) zijn verdacht. - Verkeer naar onbekende landen/servers - Waarom praat de printer met een server in een ver buitenland? Dat soort vragen wil je stellen.
-
Onversleutelde logins - Zie je
http-verkeer met formulierdata, dan gaan wachtwoorden in leesbare tekst over de lijn. Dat is een bevinding voor je rapport. - Grote uitgaande datastromen - Een werkstation dat 's nachts gigabytes uploadt kan duiden op data-exfiltratie.
Oefenen Zonder Wireshark te Installeren
Wireshark draait op echte netwerkdata en heeft dus een echte machine nodig. Maar de onderliggende
netwerk-concepten — verbindingen, poorten, protocollen — kun je direct oefenen in de
HackSimulator.nl terminal. Het command netstat
toont bijvoorbeeld welke verbindingen je systeem op dit moment heeft:
Combineer dit met nmap (welke poorten staan open?) en
traceroute (welke route legt verkeer af?) en je hebt
de mentale basis die je nodig hebt om Wireshark-captures te begrijpen.
Ethische en Juridische Grenzen
Veilige en legale manieren om te oefenen:
- Je eigen thuisnetwerk - Capture je eigen verkeer en analyseer wat jouw apparaten doen
- Sample captures - De Wireshark wiki biedt honderden gratis
.pcap-bestanden met echt (geanonimiseerd) verkeer, inclusief malware-captures - Eigen lab - Draai virtuele machines en analyseer het verkeer daartussen
- CTF-challenges - Veel capture-the-flag wedstrijden bevatten pcap-analyse opdrachten
Wil je een echte pentest leren uitvoeren?
Download het Pentest Playbook — van reconnaissance tot rapportage, met beslisbomen bij elke stap.
Download het PlaybookAan de Slag: je Eerste Capture in 5 Stappen
- Download Wireshark van wireshark.org (Windows, macOS, Linux)
- Kies je netwerkinterface - Meestal je wifi-adapter; het grafiekje ernaast toont live activiteit
- Start de capture en open een paar websites in je browser
- Stop na een minuut en filter op
dns- je ziet elk domein dat je computer heeft opgezocht - Klik een pakket aan en vouw de lagen open in het details-paneel - daar is je matroesjka-pop
Samenvatting
Wireshark is de microscoop van de netwerkwereld. Wat je hebt geleerd:
- Netwerkverkeer reist in gelaagde pakketten: Ethernet → IP → TCP/UDP → payload
- Wireshark vangt dit verkeer op en maakt elke laag zichtbaar
- Display filters zoals
ip.addr,dnsentcp.portzijn je belangrijkste vaardigheid - Verdacht verkeer herken je aan poortscans, vreemde DNS-verzoeken en onverwachte datastromen
- HTTPS beschermt de inhoud van je verkeer tegen sniffers — onversleuteld HTTP niet
- Sniffen zonder toestemming is strafbaar; oefen op je eigen netwerk of met sample captures
Volgende stap? Leer eerst poorten scannen met onze Nmap beginnersgids — dan begrijp je beide kanten van het netwerkverhaal. Of bekijk welke andere essentiële security tools je als beginner moet kennen.
Nuttige Resources
- Officieel: wireshark.org - Downloads, documentatie en de User's Guide
- Sample captures: Wireshark Wiki - Gratis pcap-bestanden om mee te oefenen
- Oefenomgevingen: TryHackMe - Heeft complete Wireshark-leerpaden
- Simulator: Netwerk commands in HackSimulator.nl - Oefen netstat, nmap en traceroute in je browser