طريقة استخدام برنامج Wireshark لتحليل حركة الشبكة

قبل الشروع في عملية التحليل، يجب أن تدرك أن برنامج Wireshark يعمل كأداة لالتقاط الحزم (Packet Sniffer) التي تمر عبر بطاقة الشبكة (Network Interface Controller). في عام 2026، ومع تطور تقنيات التشفير، لا يزال البرنامج قادراً على تحليل رؤوس الحزم (Headers) لفهم مسار البيانات، حتى لو كان المحتوى مشفراً. تبدأ الخطوة الأولى بتحميل البرنامج من موقعه الرسمي وتثبيته، مع التأكد من تثبيت أداة Npcap أو libpcap التي تأتي مدمجة مع المثبت، حيث تعد هذه الأداة هي المحرك الفعلي الذي يسمح لبرنامج Wireshark بالتفاعل مع طبقات العتاد والتقاط البيانات الخام قبل أن تعالجها نواة نظام التشغيل. عند تشغيل البرنامج لأول مرة، ستظهر لك قائمة بجميع واجهات الاتصال المتاحة على جهازك، مثل Wi-Fi أو Ethernet أو حتى الشبكات الوهمية (Virtual Adapters). سترى رسماً بيانياً صغيراً بجانب كل واجهة يوضح مستوى النشاط الحالي عليها؛ فإذا كنت متصلاً بالإنترنت عبر الكابل، ستلاحظ ذبذبات نشطة بجوار خيار Ethernet. من الضروري هنا التأكد من تفعيل وضع Promiscuous Mode من خلال إعدادات الالتقاط (Capture Options)، وهو الوضع الذي يسمح لبطاقة الشبكة بالتقاط جميع الحزم التي تمر عبر الشبكة المحلية وليس فقط تلك الموجهة لجهازك الخاص، مما يوسع نطاق رؤيتك للنشاط الشبكي المحيط بك بشكل كامل.

تتكون واجهة برنامج Wireshark من ثلاثة أقسام رئيسية صممت لتنظيم البيانات الملتقطة بشكل منطقي. القسم العلوي يُعرف بـ Packet List، وفيه يتم عرض كل حزمة (Packet) كسطر واحد يتضمن معلومات أساسية مثل الرقم التسلسلي، الوقت المنقضي منذ بدء الالتقاط، عنوان المصدر (Source)، عنوان الوجهة (Destination)، نوع البروتوكول (Protocol)، وطول الحزمة. هذا القسم هو لوحة التحكم الخاصة بك، حيث يمكنك من خلاله مراقبة تدفق البيانات المباشر وتحديد الحزم المثيرة للاهتمام بناءً على ألوانها؛ فاللون الأخضر غالباً ما يمثل بروتوكول TCP، بينما يمثل اللون الأزرق DNS، واللون الأسود قد يشير إلى حزم تحتوي على أخطاء (Errors). أما القسم الأوسط، فهو Packet Details، والذي يقدم تشريحاً دقيقاً للحزمة المختارة من القائمة العلوية بناءً على نموذج OSI Model. هنا يمكنك رؤية طبقة الربط (Data Link Layer)، وطبقة الشبكة (Network Layer) التي تظهر فيها عناوين IP، وصولاً إلى طبقة التطبيقات. القسم الأخير في الأسفل هو Packet Bytes، وهو يعرض البيانات الخام في شكلها الست عشري (Hexadecimal) وما يقابلها من نصوص ASCII. إن فهم هذا التوزيع يساعدك على الانتقال بسرعة من نظرة عامة شاملة إلى أدق تفاصيل البيانات، مما يسهل عملية التحليل المعمق للثغرات أو المشكلات التقنية التي قد تواجهها في الشبكة.

لبدء التقاط البيانات، قم بالنقر المزدوج على الواجهة النشطة التي اخترتها في الخطوة السابقة، أو اضغط على أيقونة زعنفة القرش الزرقاء (Start Capture) الموجودة في شريط الأدوات. بمجرد الضغط، سيبدأ برنامج Wireshark بملء الشاشة بآلاف الحزم المتدفقة في ثوانٍ معدودة. إذا كنت تعمل في بيئة مزدحمة، فقد تشعر بالارتباك من سرعة تدفق البيانات، لذا يفضل إيقاف الالتقاط بمجرد حصولك على العينة الكافية عبر الضغط على الزر الأحمر (Stop Capture). يمكنك أيضاً استخدام Capture Filters قبل البدء لتقليص كمية البيانات الملتقطة، مثل كتابة host 192.168.1.1 للتركيز فقط على الأجهزة المرتبطة بهذا العنوان. خلال عملية الالتقاط المباشر، يمكنك استخدام ميزة Auto Scroll للبقاء على اطلاع بآخر الحزم الواصلة، ولكن في أغلب الأحيان، يفضل المحللون تصفح البيانات بعد إيقاف الالتقاط للتركيز. من المهارات المتقدمة هنا هي القدرة على ربط الحزم ببعضها؛ فمثلاً، إذا كنت تلاحظ مشكلة في تصفح موقع معين، ابحث عن حزم HTTP أو TLS وابدأ في تتبع تسلسلها. يوفر البرنامج إمكانية حفظ هذه الجلسات في ملفات بصيغة .pcapng، وهي صيغة قياسية عالمية تمكنك من مشاركة نتائجك مع خبراء آخرين أو فتحها لاحقاً في عام 2026 باستخدام أدوات تحليلية مختلفة، مما يضمن استمرارية العمل على حل المشكلات المعقدة.

تعتبر فلاتر العرض (Display Filters) هي الميزة الأقوى في برنامج Wireshark، فهي تسمح لك بتصفية آلاف الحزم الملتقطة لإظهار ما تحتاجه فقط دون حذف البيانات الأخرى. يتم كتابة هذه الفلاتر في شريط البحث الموجود أعلى قائمة الحزم. على سبيل المثال، إذا أردت رؤية الحزم الصادرة من جهاز معين فقط، يمكنك كتابة ip.src == 192.168.1.5. أما إذا كنت تبحث عن نشاط متعلق ببروتوكول معين مثل طلبات المواقع، فيمكنك ببساطة كتابة http أو dns. يدعم البرنامج العوامل المنطقية مثل and و or و not، مما يتيح لك بناء استعلامات معقدة مثل tcp.port == 443 and ip.addr == 10.0.0.1. يتميز محرك البحث في Wireshark بخاصية الإكمال التلقائي، حيث يتغير لون شريط البحث إلى الأخضر إذا كان الفلتر صحيحاً، وإلى الأحمر إذا كان يحتوي على خطأ في الصيغة. بعد تطبيق الفلتر، ستلاحظ أن البرنامج قام بإخفاء كافة الحزم التي لا تطابق شروطك، مما يساعدك في عزل المشكلة بسرعة. يمكنك أيضاً حفظ الفلاتر التي تستخدمها بكثرة كأزرار اختصار في الواجهة الرئيسية (Filter Buttons) لتوفير الوقت. في الإصدارات الحديثة لعام 2026، أصبح البرنامج يدعم فلاتر أكثر ذكاءً قادرة على تمييز أنماط حركة المرور المشبوهة أو غير الاعتيادية، مما يجعل عملية التصفية أكثر فعالية في الكشف عن هجمات الحرمان من الخدمة (DoS) أو عمليات مسح المنافذ (Port Scanning).

بعد تصفية الحزم، يأتي دور التحليل الفعلي للبروتوكولات. أحد أكثر الأمور شيوعاً هو تحليل مصافحة TCP Three-way Handshake، وهي العملية التي تبدأ بها أي جلسة اتصال بين جهازين. يمكنك مراقبة حزم SYN و SYN-ACK و ACK للتأكد من أن الاتصال يتم بشكل سليم. إذا رأيت الكثير من حزم RST (Reset)، فهذا يعني أن الطرف الآخر يرفض الاتصال، مما قد يشير إلى وجود جدار حماية (Firewall) يمنع الوصول أو أن الخدمة المستهدفة متوقفة عن العمل. يساعدك البرنامج أيضاً في فحص زمن الاستجابة (Latency) من خلال مراقبة الفرق الزمني بين طلبات GET واستجابات السيرفر. من الأدوات الرائعة في هذا السياق هي ميزة Follow Stream. من خلال النقر بزر الماوس الأيمن على أي حزمة تابعة لبروتوكول TCP أو UDP واختيار Follow ثم TCP Stream، سيقوم برنامج Wireshark بتجميع كافة الحزم المرتبطة بهذا الاتصال وعرضها في نافذة واحدة كحوار نصي متسلسل. هذه الميزة تمكنك من قراءة محتوى الاتصالات (في حال لم تكن مشفرة) ورؤية الأوامر والردود كما لو كنت تقرأ ملفاً نصياً. في بيئة عمل عام 2026، حيث تعتمد معظم المواقع على HTTPS، يمكنك حتى إدراج مفاتيح التشفير (SSL Keys) في إعدادات البرنامج لفك تشفير حركة المرور وتحليل محتواها لأغراض التصحيح البرمجي، وهو ما يجعله أداة لا غنى عنها لمطوري تطبيقات الويب.

لا يقتصر برنامج Wireshark على عرض الحزم الفردية، بل يوفر أدوات إحصائية قوية تساعد في تشخيص مشاكل الأداء العام. من قائمة Statistics، يمكنك الوصول إلى خيار I/O Graphs الذي يرسم بياناً بيانياً لضغط الشبكة بمرور الوقت، مما يساعدك في تحديد الأوقات التي يحدث فيها استهلاك مفرط للنطاق الترددي. كما يوفر خيار Conversations نظرة شاملة على أكثر الأجهزة استهلاكاً للبيانات في شبكتك، حيث يعرض حجم البيانات المتبادلة بين كل زوج من عناوين IP، وهو أمر حيوي لاكتشاف الأجهزة التي تقوم بعمليات تحميل ضخمة أو التي قد تكون مصابة ببرمجيات خبيثة تقوم بنقل البيانات في الخلفية. أداة أخرى مهمة هي Expert Info، والتي يمكن الوصول إليها عبر أيقونة ملونة في الزاوية السفلى من الواجهة. هذه الأداة تعمل كمساعد ذكي يقوم بتحليل الحزم الملتقطة تلقائياً وتنبيهك لوجود مشكلات تقنية مثل Retransmissions (إعادة إرسال الحزم نتيجة فقدانها) أو Out-of-Order Packets (وصول الحزم بترتيب خاطئ). وجود عدد كبير من حزم إعادة الإرسال يعد مؤشراً واضحاً على وجود مشكلة في الكابلات أو تداخل في موجات الواي فاي. باستخدام هذه البيانات الإحصائية في عام 2026، يمكن لمديري الشبكات اتخاذ قرارات مبنية على حقائق تقنية لتحسين جودة الاتصال وتقليل زمن التأخير (Ping) للمستخدمين النهائيين.

يعتبر برنامج Wireshark خط الدفاع الأول في تحليل الحوادث الأمنية. من خلال مراقبة الحزم، يمكن للمحللين اكتشاف محاولات التسلل التي قد لا تلاحظها أنظمة الحماية التقليدية. على سبيل المثال، يمكن رصد هجمات ARP Poisoning من خلال مراقبة التغيرات المفاجئة في جداول عناوين الماك (MAC Addresses) داخل الشبكة. كما يمكن التعرف على محاولات الوصول غير المصرح به عبر فحص حزم ICMP غير المبررة أو طلبات DNS المشبوهة التي قد تشير إلى وجود نفق بيانات (DNS Tunneling) يستخدمه المخترقون لتسريب المعلومات من داخل الشبكة المحمية. في عام 2026، ومع ازدياد تعقيد الهجمات، يتم دمج Wireshark مع أنظمة كشف التسلل (IDS) لتحليل عينات من حركة المرور المشبوهة بشكل يدوي. يمكنك استخدام ميزة Coloring Rules لتلوين الحزم التي تطابق معايير أمنية معينة باللون الأحمر الصارخ لجذب انتباهك فوراً. بالإضافة إلى ذلك، يساعد تحليل سجلات Handshake الخاصة ببروتوكول TLS في التأكد من أن الأجهزة تستخدم خوارزميات تشفير قوية وحديثة، واكتشاف أي محاولة لفرض استخدام بروتوكولات قديمة وضعيفة (Downgrade Attacks). إن القدرة على قراءة الحزم وتفسير معانيها هي ما يميز الخبير الأمني المحترف، حيث تتحول البيانات الصامتة إلى أدلة ملموسة تساعد في تأمين البنية التحتية الرقمية.