Wireshark Tutorial in Italiano: Guida all'Analisi del Traffico di Rete (2026)

Wireshark è l'analizzatore di protocolli di rete più usato al mondo. Permette di catturare e ispezionare i pacchetti che transitano su un'interfaccia di rete, rendendolo indispensabile per la diagnostica di rete, la sicurezza informatica e il penetration testing.

Installazione e primo avvio

Windows e macOS

Scarica il programma da wireshark.org/download. L'installer include automaticamente Npcap (Windows) o viene integrato con libpcap (macOS).

Linux (Kali, Ubuntu, Debian)

sudo apt update && sudo apt install wireshark -y
# Aggiungi il tuo utente al gruppo wireshark per catturare senza root
sudo usermod -aG wireshark $USER

Al primo avvio vedrai la schermata principale con l'elenco delle interfacce di rete disponibili. Clicca su un'interfaccia per iniziare la cattura.

Cattura del traffico

Selezionare l'interfaccia

• eth0 / enp0s3 — interfaccia cablata
• wlan0 — interfaccia wireless
• lo — loopback (traffico locale)
• any — cattura su tutte le interfacce

Filtri di cattura (Capture Filters)

Impostati prima di avviare la cattura, riducono i dati salvati:

# Solo traffico HTTP
port 80

# Traffico da/verso un IP specifico
host 192.168.1.1

# Solo traffico TCP
tcp

# Traffico DNS
port 53

# Escludere traffico broadcast
not broadcast and not multicast

Avvio e arresto cattura

• Avvia: Clicca sull'icona della pinna o premi Ctrl+E
• Ferma: Clicca il pulsante rosso o premi Ctrl+E di nuovo
• Salva: File → Save As → scegli formato .pcapng (o .pcap)

Filtri di visualizzazione (Display Filters)

I filtri di visualizzazione si applicano dopo la cattura e sono molto potenti.

Filtri per protocollo

http          # tutto il traffico HTTP
https         # HTTPS (ma solo gli header, non il contenuto)
dns           # query e risposte DNS
ftp           # FTP
ssh           # SSH
arp           # ARP
icmp          # ping e messaggi ICMP
smtp          # email SMTP

Filtri per indirizzo IP

ip.addr == 192.168.1.1              # pacchetti da o verso questo IP
ip.src == 192.168.1.100             # solo pacchetti con questo IP sorgente
ip.dst == 10.0.0.1                  # solo pacchetti verso questo IP
ip.addr == 192.168.1.0/24           # intera subnet
!(ip.addr == 192.168.1.1)           # escludere un IP

Filtri per porta TCP/UDP

tcp.port == 80                      # HTTP
tcp.port == 443                     # HTTPS
tcp.dstport == 22                   # SSH in uscita
udp.port == 53                      # DNS
tcp.port in {80 443 8080 8443}      # porte multiple

Filtri avanzati

# Richieste HTTP GET
http.request.method == "GET"

# HTTP con codice 200
http.response.code == 200

# Errori HTTP
http.response.code >= 400

# Traffico con credenziali HTTP Basic
http.authorization

# Pacchetti TCP con flag SYN (nuove connessioni)
tcp.flags.syn == 1 && tcp.flags.ack == 0

# Pacchetti con payload oltre 1000 byte
tcp.len > 1000

# DNS che contiene una stringa specifica
dns.qry.name contains "google"

Analisi del traffico per la sicurezza

Identificare scansioni di rete (Nmap, ecc.)

Una scansione SYN produce molti pacchetti SYN verso porte diverse in rapidissima successione:

tcp.flags.syn == 1 && tcp.flags.ack == 0

Ordina per IP sorgente. Se vedi centinaia di SYN da un singolo IP verso porte diverse, è probabile una scansione.

Trovare credenziali in chiaro

Su protocolli non cifrati:

# Cerca POST in HTTP con parametri password
http.request.method == "POST" && http contains "password"

# FTP con credenziali
ftp.request.command == "USER" || ftp.request.command == "PASS"

# Telnet (tutto in chiaro)
telnet

Rilevare esfiltrazione di dati

# Grosse quantità di dati in uscita verso un IP sospetto
ip.dst == <ip_sospetto> && tcp.len > 1000

# DNS exfiltration (query DNS insolitamente lunghe)
dns.qry.name.len > 50

Analizzare traffico malware

# HTTP verso IP invece di nomi di dominio (comportamento C2 comune)
http.host matches "^\\d+\\.\\d+\\.\\d+\\.\\d+$"

# Connessioni verso porte non standard
tcp.dstport != 80 && tcp.dstport != 443 && tcp.dstport != 22

Funzionalità utili

Follow TCP Stream

Ricostruisce una conversazione TCP completa in formato leggibile:

1. Tasto destro su un pacchetto → "Follow" → "TCP Stream"

Statistics → Protocol Hierarchy

Mostra la distribuzione dei protocolli nel file di cattura. Utile per capire rapidamente il tipo di traffico dominante.

Statistics → Endpoints / Conversations

Elenca tutti gli indirizzi IP e le connessioni. Perfetto per identificare host che comunicano più frequentemente.

Export Objects

Estrai file trasferiti via HTTP, SMB, DICOM o TFTP:

File → Export Objects → HTTP

---

Wireshark si integra perfettamente con Nmap e Kali Linux nella toolchain di un penetration tester. Per approfondire le tecniche di sicurezza di rete, esplora i corsi gratuiti di Pentevo Academy.