Vì sao phải có baseline trước khi soi traffic?

Wireshark mạnh nhất khi bạn biết “mạng của mình trông như thế nào khi bình thường”.
Baseline giúp bạn phân biệt được đâu là spike do backup/patching hợp lệ, đâu là bất thường do scan/brute-force/malware.

1) Lưu lượng tăng đột biến bất thường

Dấu hiệu dễ thấy nhất: nhiều packet nhỏ gửi liên tục trong thời gian ngắn, hoặc băng thông tăng mà không rõ ứng dụng tạo ra.
Tình huống này thường liên quan scan, brute-force hoặc DoS nhẹ.

# Filter gợi ý
tcp.flags.syn == 1 and tcp.flags.ack == 0   # SYN tăng bất thường (scan / SYN flood nhẹ)
udp and frame.len < 120                      # Nhiều gói UDP nhỏ liên tục

2) Kết nối đến IP/Domain lạ

Các kết nối ra ngoài Internet tới IP ngoài quốc gia, ASN không quen, hoặc domain mới không nằm trong whitelist
có thể là dấu hiệu C2 (Command & Control), tải payload, hoặc beaconing.

# Filter gợi ý
dns.qry.name contains "cdn" or dns.qry.name contains "update"  # hay bị giả mạo
ip.dst == 203.0.113.10                                         # thay bằng IP nghi ngờ

3) Clear-text credentials (lộ user/password)

Nếu bạn thấy username/password xuất hiện trực tiếp trong HTTP/FTP/Telnet (hoặc payload decode ra được),
đó là rủi ro cực lớn: cấu hình sai, dùng giao thức không mã hóa, hoặc bị sniffing nội bộ.

# Filter gợi ý
http.authorization
ftp.request.command == "USER" or ftp.request.command == "PASS"
telnet

4) DNS traffic đáng ngờ

DNS là “đường cao tốc” của malware. Hãy chú ý khi thấy:
query liên tục đến domain ngẫu nhiên, tên domain dài bất thường, hoặc tần suất cao không giống hành vi người dùng.
Đây có thể là DNS tunneling hoặc malware beaconing.

# Filter gợi ý
dns and dns.qry.name matches "[a-z0-9]{30,}"   # chuỗi dài bất thường (gợi ý)
dns.flags.response == 0                       # chỉ query (chưa xét response)

5) Session kéo dài bất thường

Một TCP session mở rất lâu nhưng truyền rất ít dữ liệu, kèm keep-alive đều đặn có thể là
dấu hiệu backdoor hoặc C2 đang “đợi lệnh”.

# Filter gợi ý
tcp.analysis.keep_alive
tcp.len == 0 and tcp.flags.ack == 1          # ACK rỗng lặp lại

6) Protocol không đúng ngữ cảnh

Thấy SMB/RDP/SSH xuất hiện ở subnet “không nên có” (ví dụ user VLAN tự đi RDP/SMB vào nhiều máy),
hoặc lưu lượng quản trị phát sinh từ máy người dùng — đây là dấu hiệu mạnh của lateral movement.

# Filter gợi ý (thay VLAN/IP theo thực tế)
tcp.port == 445 or tcp.port == 3389 or tcp.port == 22

7) User-Agent lạ hoặc trống

Trong HTTP request, User-Agent trống hoặc rất “dị” (không phổ biến) thường là dấu hiệu script,
tool tự động, malware, hoặc client giả mạo.

# Filter gợi ý
http.request and not http.user_agent
http.user_agent contains "python" or http.user_agent contains "curl" or http.user_agent contains "wget"

8) ICMP & ARP bất thường

ICMP request liên tục (ping sweep) hoặc ARP broadcast dày đặc/mapping IP bất thường có thể liên quan
network scan hoặc ARP spoofing (MITM trong LAN).

# Filter gợi ý
icmp
arp and arp.opcode == 2                      # ARP reply
arp.duplicate-address-detected

Checklist nhanh cho sysadmin khi thấy traffic lạ

• So sánh với baseline: cùng khung giờ, cùng VLAN, cùng workload
• Chốt top talkers: IP nào tạo spike? port nào tăng?
• Chốt “điểm đến”: IP/domain/ASN lạ có reputation xấu không?
• Chốt loại hành vi: scan, brute-force, beaconing, tunneling, lateral movement?
• Cross-check log: firewall, AD, proxy, EDR, SIEM theo timestamp
• Khoanh vùng: endpoint nào nghi bị compromise → isolate trước, điều tra sau

FAQ – Câu hỏi thường gặp