tcpdump

13. Juli 2025
Security

tcpdump ist ein Packet Analyzer, der über die Kommandozeile Netzwerkpakete in Echtzeit erfasst und analysiert. Das Tool ermöglicht die Überwachung von Traffic auf verschiedenen Netzwerkinterfaces und eignet sich besonders für Server-Umgebungen und automatisierte Analyseprozesse im Gegensatz zu grafischen Anwendungen wie Wireshark.

Installation

# Ubuntu/Debian
sudo apt update
sudo apt install tcpdump

# macOS
brew install tcpdump

Windows-Hinweis: WinDump stellt die Windows-Variante von tcpdump dar und kann von der offiziellen Website bezogen werden. Alternativ steht tcpdump über WSL zur Verfügung.

Grundlegende Verwendung

Die Paketerfassung auf dem Standard-Interface erfolgt über:

sudo tcpdump

Privilegierte Zugriffe sind erforderlich, da tcpdump direkten Zugang zu den Netzwerkinterfaces benötigt.

Wichtige Parameter


# Verfügbare Interfaces auflisten
tcpdump -D

# Interface spezifizieren
sudo tcpdump -i eth0

# Localhost-Traffic
sudo tcpdump -i lo

# Alle Interfaces überwachen
sudo tcpdump -i any

# Anzahl der Pakete begrenzen
sudo tcpdump -c 100

# Ausgabe reduzieren (quiet mode; wesentliche Verbindungsinformationen)
sudo tcpdump -q

# Numerische Adressen ohne DNS-Auflösung
sudo tcpdump -n

# Line-buffered Ausgabe für Pipes
sudo tcpdump -l

# ASCII-Ausgabe der Paketinhalte
sudo tcpdump -A

# Hexadezimal- und ASCII-Ausgabe
sudo tcpdump -X

# Snapshot-Länge setzen (0 = vollständige Paketausgabe)
sudo tcpdump -s 0

Filter und Optionen

Host-basierte Filter

# Traffic von/zu spezifischer IP
sudo tcpdump host 192.168.1.1

# Eingehender Traffic
sudo tcpdump src host 192.168.1.1

# Ausgehender Traffic
sudo tcpdump dst host 192.168.1.1

Port-basierte Filter

# HTTP-Traffic
sudo tcpdump port 80

# HTTPS-Traffic
sudo tcpdump port 443

# SSH-Traffic
sudo tcpdump port 22

# Mehrere Ports
sudo tcpdump port 80 or port 443

Protokoll-Filter

# TCP-Pakete
sudo tcpdump tcp

# UDP-Pakete
sudo tcpdump udp

# ICMP-Pakete
sudo tcpdump icmp

Praktische Anwendungsszenarien

HTTP-Traffic-Analyse

# HTTP-Traffic mit Payload
sudo tcpdump -i any -A port 80

# HTTP-Headers extrahieren
sudo tcpdump -i any -s 0 -l -A port 80 | grep -E "(GET|POST|HTTP)"

Database-Verbindungsmonitoring

# MySQL-Verbindungen
sudo tcpdump -i any port 3306

# PostgreSQL-Verbindungen
sudo tcpdump -i any port 5432

# Redis-Verbindungen
sudo tcpdump -i any port 6379

Speichern der Daten in pcap-Datei

# Pakete in pcap-Datei speichern
sudo tcpdump -w network_capture.pcap

# Dateigrößenbegrenzung
sudo tcpdump -w network_capture.pcap -C 100

# Zeitbasierte Rotation
sudo tcpdump -w network_capture.pcap -G 3600 -W 24

pcap-Datei analysieren

# pcap-Datei lesen
tcpdump -r network_capture.pcap

# Mit Filtern
tcpdump -r network_capture.pcap port 80

Debugging-Strategien

Verbindungsdiagnose

# TCP-Handshake-Verfolgung
sudo tcpdump -i any "tcp[tcpflags] & (tcp-syn|tcp-ack) != 0"

# Reset-Pakete identifizieren
sudo tcpdump -i any "tcp[tcpflags] & tcp-rst != 0"

DNS-Troubleshooting

# DNS-Queries
sudo tcpdump -i -n any port 53

# Spezifische DNS-Server
sudo tcpdump -i -n any port 53 and host 8.8.8.8

Integration mit anderen Tools

Textbasierte Filterung

# String-Suche
sudo tcpdump -i any -A -l port 80 | grep -i "user-agent"

# JSON-Response-Filterung
sudo tcpdump -i any -A -l port 80 | grep -E "(application/json|{|})"

Datenextraktion

# IP-Adressen-Statistiken
sudo tcpdump -n -l | awk '{print $3}'

Sicherheitsaspekte

tcpdump kann sensible Informationen erfassen. Folgende Sicherheitsmaßnahmen sind zu beachten:

  • Verwendung ausschließlich mit entsprechenden Systemberechtigungen
  • Sichere Speicherung und ordnungsgemäße Löschung erfasster Daten
  • Implementierung spezifischer Filter zur Minimierung irrelevanter Datenerfassung
  • Compliance-Prüfung bezüglich Netzwerkmonitoring-Anforderungen

Alternative Lösungsansätze

Wireshark bietet eine grafische Benutzeroberfläche und erweiterte Analysefunktionen. Für komplexe Protokollanalysen oder weniger kommandozeilenorientierte Arbeitsweisen kann Wireshark die geeignetere Wahl darstellen.

tshark kombiniert die Kommandozeilenfunktionalität von tcpdump mit den erweiterten Protokoll-Decodern von Wireshark.

netstat und ss ergänzen tcpdump bei der Analyse aktiver Verbindungen und Listening-Ports.

Fazit

tcpdump stellt ein wichtiges Werkzeug für die Netzwerkanalyse dar. Die Kombination aus einfacher Syntax, leistungsstarken Filtern und universeller Verfügbarkeit auf Unix-Systemen macht es zu einem wertvollen Instrument für Debugging und Monitoring. Trotz moderner Monitoring-Lösungen bleibt tcpdump ein relevantes Tool für detaillierte Paketanalysen und systemnahe Netzwerkdiagnose.