Convertidor online gratuito de PCAP a CSV

Una hoja de cálculo, un sistema de informes o un script puede requerir el tráfico capturado como filas y columnas en lugar de un rastreo de paquetes binario. La conversión de la captura a CSV extrae campos seleccionados para filtrarlos, editarlos, compartirlos o importarlos en Excel, LibreOffice Calc, Python, R o una base de datos.

Qué es el formato PCAP

PCAP es un formato binario de captura de red que almacena registros de paquetes, marcas de tiempo, longitudes capturadas y originales, un tipo de capa de enlace y los bytes capturados cuando están disponibles. Los bytes pueden contener datos de enlace, red, transporte y aplicación, según el punto de captura y la longitud de instantánea.

Wireshark, TShark, tcpdump, dumpcap, los dispositivos de monitorización y los sistemas de detección de intrusiones pueden crear o escribir archivos PCAP. Los analistas de redes utilizan las capturas para solucionar problemas, analizar protocolos, investigar el rendimiento, responder a incidentes y preservar evidencias. El formato relacionado PCAPNG también puede almacenar múltiples interfaces, comentarios, datos de resolución de nombres y otros metadatos de captura; las versiones actuales de Wireshark y TShark generalmente pueden leer ambos formatos.

Las capturas pueden contener credenciales, cookies, direcciones IP, mensajes y otras cargas útiles confidenciales. Trate una captura sin sanitizar como evidencia sensible.

Qué es el formato CSV

CSV es texto sin formato organizado en registros y campos, normalmente con un registro por línea y comas que separan los campos. Las comillas permiten gestionar comas, comillas y otros caracteres dentro de los valores de los campos, pero CSV no tiene un estándar universal de delimitador, codificación o tipo de datos.

Un CSV de resumen de paquetes puede contener el número de trama, la marca de tiempo, las direcciones de origen y destino, los puertos, el protocolo y las longitudes de los paquetes. Estas columnas resultan prácticas para ordenar, filtrar, contar, crear gráficos e importar en una base de datos, y el resultado suele ser mucho más pequeño que la captura original. CSV no conserva los bytes completos de los paquetes, la jerarquía de protocolos, el estado de reensamblado, los metadatos de captura, los comentarios ni los detalles del análisis que no se hayan exportado explícitamente.

Uso de TShark

TShark es el analizador de línea de comandos de Wireshark y permite controlar de forma repetible las columnas exportadas. Instale Wireshark o instale el paquete TShark proporcionado por su sistema operativo. Ejecute el comando desde un terminal en el directorio que contiene la captura:

tshark -r capture.pcap -n -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e ipv6.src -e ipv6.dst -e tcp.srcport -e tcp.dstport -e udp.srcport -e udp.dstport -e _ws.col.Protocol -e frame.len -e frame.cap_len > packets.csv

-r lee la entrada, -n desactiva la resolución de nombres y -T fields escribe únicamente los campos solicitados. Las opciones -E añaden un encabezado, seleccionan las comas, ponen entre comillas los valores con comillas dobles y conservan el primer valor cuando un campo aparece más de una vez. frame.len es la longitud original en la red; frame.cap_len es el número de bytes capturados. Sustituya capture.pcap por un nombre de archivo .pcapng cuando sea necesario.

Los campos que no se aplican a un paquete permanecen vacíos. Por ejemplo, las direcciones IP están ausentes en el tráfico que no es IP, y los puertos TCP están ausentes en UDP, ICMP y otros protocolos. Añada campos específicos del protocolo con opciones -e adicionales, como dns.qry.name, http.request.method, tls.handshake.extensions_server_name o tcp.stream. Use tshark -G fields para consultar los nombres de campo compatibles con la versión instalada.

Para exportar únicamente los paquetes que coincidan con un filtro de visualización de Wireshark, añada -Y:

tshark -r capture.pcap -n -Y "dns or tcp.port == 443" -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e _ws.col.Protocol -e frame.len > filtered.csv

Utilice un estilo de comillas adecuado para el shell en Windows u otro sistema operativo si el filtro contiene caracteres especiales. TShark es preferible para archivos grandes, exportaciones repetibles y scripts, ya que el esquema es explícito.

Uso de Wireshark

1. Abra el archivo PCAP o PCAPNG con File → Open.
2. Introduzca un filtro de visualización como dns, http, ip.addr == 192.0.2.10 o tcp.port == 443.
3. Configure las columnas de la lista de paquetes mediante Edit → Preferences → Appearance → Columns si las columnas predeterminadas no son suficientes. Añada campos como el número de paquete, la hora, el origen, el destino, el protocolo y la longitud.
4. Seleccione File → Export Packet Dissections → As CSV. En el cuadro de diálogo de exportación, seleccione los paquetes mostrados si el filtro debe limitar la salida.
5. Guarde el archivo con una extensión .csv e inspecciónelo en un editor de texto o mediante una importación controlada antes de utilizarlo.

La exportación gráfica de Wireshark es adecuada para obtener una vez un resumen de la lista de paquetes. Su salida sigue las columnas de la lista de paquetes, no todos los campos diseccionados. Use TShark cuando se requiera una selección exacta de campos o un procesamiento por lotes repetible.

Uso del convertidor en línea integrado

Puede convertir el archivo en 101convert.com de forma gratuita sin instalar software: cargue el archivo PCAP o PCAPNG, seleccione CSV, inicie la conversión y descargue el resultado. 

Limitaciones de calidad y compatibilidad

• Una longitud de instantánea corta puede dejar únicamente encabezados o cargas útiles parciales en la captura. CSV no puede restaurar bytes que nunca se capturaron.
• El cifrado normalmente deja disponibles las direcciones, los puertos, las marcas de tiempo y los metadatos del protocolo, pero no el contenido descifrado de la aplicación.
• Los campos repetidos requieren una decisión sobre el esquema. -E occurrence=f conserva el primer valor; otras configuraciones de occurrence pueden crear valores repetidos o unidos mediante separadores que no encajan en una columna simple de base de datos.
• frame.time_epoch conserva una marca de tiempo Unix numérica y los segundos fraccionarios de forma más fiable que una hora con formato regional. Consérvela cuando el orden de los eventos sea importante.
• El software de hojas de cálculo puede reinterpretar marcas de tiempo, enteros largos, direcciones IP y valores con ceros iniciales. Importe las columnas con tipos explícitos de texto, entero o fecha cuando los valores exactos sean importantes.
• Las capturas grandes pueden generar millones de filas y superar los límites de filas de las hojas de cálculo. Filtre antes de exportar o cargue el CSV en una base de datos, Python, R u otra herramienta de procesamiento de datos.
• Conserve el PCAP o PCAPNG original como fuente del análisis. CSV es un resumen derivado y no es suficiente para volver a analizar los paquetes de forma fiable.