TShark — это консольная версия сетевого анализатора, разработанного как часть проекта Wireshark. Программа предназначена для захвата, декодирования и анализа сетевых пакетов в текстовом режиме, предоставляя функциональность, аналогичную графическому интерфейсу Wireshark, но ориентированную на использование в терминале, автоматизацию и работу на серверах. TShark поддерживает множество протоколов, фильтрацию трафика с использованием выражений capture/display, декодирование полей пакетов и экспорт результатов в различные текстовые форматы.
Исторически TShark возник как инструмент для пользователей, которым требовалась функциональность анализа пакетов без графической среды или для интеграции в скрипты и системы мониторинга. Благодаря общей кодовой базе с Wireshark, TShark наследует актуальные реализации протоколов и возможности разборщиков (dissectors). Программа широко применяется для отладки сетевых приложений, расследования инцидентов и сбора статистики трафика в условиях, где использование GUI невозможно или нежелательно.
- Захват пакетов: запись сетевого трафика с интерфейсов операционной системы, поддержка различных каналов захвата и опций сохранения в файлы дампов (PCAP/PCAPNG).
- Фильтрация: использование выражений захвата и отображения для селективного перехвата и анализа пакетов по адресам, портам и свойствам протоколов.
- Декодирование протоколов: многоуровневый разбор широкого набора сетевых протоколов на разных уровнях стека, с отображением структурированных полей и значений.
- Экспорт и форматирование: вывод результатов в виде текстовых отчётов, CSV, JSON и других форматов для последующей обработки скриптами и интеграции с системами логирования.
- Автоматизация и скрипты: возможность запуска в пакетных задачах, использование опций командной строки для управления длительностью захвата, размерам файлов и ротации.
- Сопровождение и обновления: развитие вместе с проектом Wireshark: обновления поддерживают новые протоколы и улучшают точность декодирования.
- Системные сценарии использования: применение в средах без графического интерфейса, на серверах и в контейнерах, а также в автоматических тестах и инструментах мониторинга сети.
- Совместимость с форматами дампов: чтение и запись стандартных форматов захвата для совместимости с другими анализаторами и инструментами.