Termshark — 네트워크 분석 및 진단

최신 도구 가이드 / 네트워크 분석 및 진단 / termshark.html

tshark(Wireshark CLI)를 위한 터미널 UI. 서버 환경에서 Wireshark처럼 패킷을 분석.

기본 정보

이 프로그램은 무엇인가?

Termshark는 Wireshark의 명령줄 버전인 tshark를 터미널 사용자 인터페이스(TUI)로 감싼 도구입니다. SSH로 접속한 서버에서도 마우스·키보드로 패킷을 탐색·필터링·분석할 수 있어, GUI가 없는 환경에서 Wireshark처럼 작업할 수 있게 해줍니다.

pcap·pcapng 파일을 열어 패킷 목록, 프로토콜 계층 트리, 원시(hex) 데이터를 세 창으로 나눠 보여줍니다. 실시간 캡처도 지원하며, tshark가 설치되어 있으면 그 엔진을 그대로 사용합니다.

어떤 문제를 해결하는가?

• GUI가 없는 서버에서 pcap 파일을 시각적으로 분석해야 할 때 사용합니다.
• SSH 접속 환경에서 Wireshark 수준의 패킷 분석이 필요할 때 사용합니다.
• 네트워크 장애를 서버 로그인 상태에서 즉시 조사할 때 사용합니다.
• 팀원에게 서버에서 캡처한 pcap을 직접 전달하지 않고 원격 분석할 때 사용합니다.

주요 기능

3분할 패킷 뷰

패킷 목록, 프로토콜 계층, 원시 데이터를 세 영역으로 동시에 표시합니다.

• 활용 상황: 패킷을 선택하면 해당 데이터의 상세 구조를 실시간으로 확인합니다.
• 얻는 결과: Wireshark와 동일한 3단 구조를 터미널에서 사용합니다.
• 제한 사항: 터미널 해상도가 낮으면 세 영역이 좁게 표시됩니다.

리플레이 필터

Wireshark의 디스플레이 필터 문법을 그대로 지원합니다.

• 활용 상황: ip.addr == 10.0.0.5 && tcp.port == 443 같은 필터를 입력합니다.
• 얻는 결과: Wireshark 사용자라면 그대로 적응할 수 있습니다.
• 제한 사항: 필터 문법 오류 시 결과가 비어 보일 수 있습니다.

실시간 캡처

네트워크 인터페이스를 실시간으로 캡처하며 TUI로 분석합니다.

• 활용 상황: 서버에서 직접 트래픽을 캡처·분석할 때 사용합니다.
• 얻는 결과: 캡처와 분석을 한 화면에서 수행합니다.
• 제한 사항: 캡처 권한(root 또는 cap_net_raw)이 필요합니다.

SSH 원격 분석

SSH 세션에서 pcap 파일을 열어 분석하므로 파일 전송이 불필요합니다.

• 활용 상황: 원격 서버의 pcap을 로컬로 내려받지 않고 분석할 때 사용합니다.
• 얻는 결과: 전송 없이 즉시 분석을 시작할 수 있습니다.
• 제한 사항: 대용량 pcap은 SSH 응답이 느려질 수 있습니다.

설치 및 실행

바이너리 다운로드

GitHub 릴리스에서 설치합니다. tshark를 함께 설치하는 것이 좋습니다.

# tshark 설치 (Wireshark CLI 엔진)
sudo apt install -y tshark

# termshark 바이너리 다운로드
wget https://github.com/gcla/termshark/releases/latest/download/termshark_2.4.0_linux_x86_64.tar.gz
tar xzf termshark_*.tar.gz
sudo mv termshark /usr/local/bin/

# 설치 확인
termshark --version

go install

Go 환경에서 설치합니다.

go install github.com/gcla/termshark/cmd/termshark@latest

macOS / Homebrew

Homebrew로 설치합니다.

brew install termshark

실제 사용 예제

pcap 파일 열기

저장된 pcap 파일을 TUI로 분석합니다.

# pcap 파일 열기
termshark -r capture.pcapng

# TUI에서 패킷 선택 → 프로토콜 트리·원시 데이터 확인

실시간 캡처 및 필터

인터페이스를 캡처하면서 필터를 적용합니다.

# eth0 실시간 캡처
sudo termshark -i eth0

# TUI에서 필터 입력:
# tcp.port == 443
# http.request.method == "POST"

SSH로 원격 서버 pcap 분석

서버에 로그인한 상태에서 pcap을 분석합니다.

# SSH 접속 후 termshark 실행
ssh user@server
termshark -r /var/log/capture.pcap

# 원격 서버에서 바로 분석, 파일 전송 불필요