現役ペンテスト技術者が選ぶ使えるセキュリティツール(25) 「ただのパケットモニタリングツールではない　−Wireshark(3)」

　このコーナーでは、現役のペネトレーションテスト技術者が、使えるセキュリティツールを、ペンテストの現場の視点から紹介します。

◆名称： Wireshark(3)
◆配布制限：フリーウェア
◆商用版の有無：無
◆類似ツール： Packetyzer
◆DL URL： http://www.wireshark.org/
◆対応OS： Windows系OS、Unix系OS、OSX
◆分野：ネットワークプロトコル分析
◆コマンド一覧：

(1)基本項目と概要

　前回、前々回で、「Wireshark」での、パケットキャプチャ、そして、パケット保存について紹介させていただいた。

　しかし、これだけでは、パケット分析とは呼べず、GUIの利点をあまり活かしきれいるとは言いがたい。

　そこで、今回は、分析を行う上で便利な機能をいくつか紹介させていただく。

(2)コマンドサンプル

■マーキング

　分析を行う際には、数多くのパケットをチェックすることになる。したがって、分析に役立つと思われるようなパケットも当然一つではないことも多々あるだろう。分析中に、重要なパケットを見失っては非常に非効率である。

　それを補うために、「Wireshark」では、二つのマーキング機能がある。

一つ目は、キャプチャ結果にマーキングを行う「Mark Packets(toggle)」（以下、PM)
もう一つは、時間にマーキングを行う「Set Time Reference（toggle）」（以下、TM）

である。

　PMを行うには、まず、マーキングしたいパケットを選択し、メニューバーの[Edit]→[Mark Packets(toggle)]をクリックする。（[Ctrl + M]でも可能）

　すると、選択した行の色が、黒に変化する。

図1：
https://www.netsecurity.ne.jp/images/article/ws-packet_mark.jpg

　これで、視覚的に分かりやすいというだけでなく、[Edit]→[Find Next Mark]や[Find Previous Mark]とすることで、目的のパケットを発見しやすくなるという利点がある。

　また、表示しているすべてのパケットにマーキングを行うこともできるため、一旦、フィルタを行ってから、すべてのマーキングを行っておけば、フィルタを解除しても、フィルタ条件にマッチしていたパケットを見つけやすくなるという使い方も可能である。

　次に、TMだが、こちらもマーキング方法はPMと要領は同じである。マーキングを行いたい行を選択し、[Edit]→[Set Time Reference（toggle）]([Ctrl + T] でも可能)とするだけである。

　マーキングを行うという意味では、PMと同じなのだが、こちらは時間表示の面で少し異なる点がある。TMを行った場合、PMのように黒くなるなどの色の変化はないが、時間が表示される部分に[*REF*]と表示されるようになる。

図2：
https://www.netsecurity.ne.jp/images/article/ws-time_mark.jpg

　デフォルトで、時間の部分はパケットキャプチャ開始時からの時間が表示されているが、TMを設定することで、起点となるパケットからの時間のカウントを表示させることが可能となる。PMと同じく複数設定可能であり、マーキングされている場所を発見することも容易となる。

■プロトコルの割合表示

　分析する上でキャプチャされたパケットの種類（プロトコル）別に全体を把握し、その割合を知りたい場合がある。その際には、この機能が非常に重宝される機能である。

　これを表示するには、[Staticetic]→[Protocl Hierarchy]と選択する。

図3：
https://www.netsecurity.ne.jp/images/article/ws-protocol_hierarchy.jpg

　割合を表示する際には、現在、表示されているパケットが対象となるので、フィルタを行っている際にはフィルタ結果からの割合表示となる。

　筆者がこの機能を重宝した場面としては、とあるネットワークの分析を依頼されたときである。組織内のトラフィックの分析を行った欲しいという依頼だったのだが、この統計機能も分析の一つとして提出させていただいた。その際に発見したのは、図3にもあるようなIM（Instant Messenger）であった。多くのパケットの中から全体を把握し、ある種の「アタリ」をつけることにこの機能は向いていると言える。

　また、この表示結果からフィルタを適用することも可能でる。目的の結果を選択し、右クリックメニューを表示し、[Apply as Filter]→[Selected]とすればフィルタが適用される。

■グラフ

　分析を行う際には、数字での統計を見ることもよいのだが、やはり、GUIの強みを活かすという点においてグラフというものは必須ではないだろうか。すべての統計では見えないものも、時間の経過という軸を加味することで見えてくることもあると筆者は思っている。

　グラフの表示方法だが、メニューから[Staticetic]→[IO Graphs]を選択する。

https://www.netsecurity.ne.jp/images/article/ws-io_1.jpg

　しかし、これだけを見ても全体の通信の量を時系列でグラフ化しただけであり、あまり意味がない。

　そこで、ここでも…

【執筆：NTTデータ・セキュリティ株式会社辻伸弘】

【関連記事】
現役ペンテスト技術者が選ぶ使えるセキュリティツール(21)
「パケットには真実がある　−　パケットモニタリング系ツール」
https://www.netsecurity.ne.jp/3_11732.html
現役ペンテスト技術者が選ぶ使えるセキュリティツール(22)
「パケットモニタリングツールの王道　−tcpdump」
https://www.netsecurity.ne.jp/3_11765.html
現役ペンテスト技術者が選ぶ使えるセキュリティツール(23)
「ただのパケットモニタリングツールではない　−Wireshark(1)」
https://www.netsecurity.ne.jp/3_11940.html
現役ペンテスト技術者が選ぶ使えるセキュリティツール(24)
「ただのパケットモニタリングツールではない　−Wireshark(2)」
https://www.netsecurity.ne.jp/3_11982.html
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw

現役ペンテスト技術者が選ぶ使えるセキュリティツール(25) 「ただのパケットモニタリングツールではない　−Wireshark(3)」

特集

現役ペンテスト技術者が選ぶ使えるセキュリティツール

ペンテスト

特集アクセスランキング

今日もどこかで情報漏えい第26回「2024年6月の情報漏えい」ふたつの “完全には否定できない” 違いはどこを向いているか2024.7.25 Thu 8:10

能力のないサーバ管理者　サーバモンキーはネットセキュリティの危険因子2001.10.23 Tue 12:00

アンチ・シリコンジャーナリズム　それってデータの裏付けあるの？前編「存在しない『炎上』の作り方」2021.7.28 Wed 8:15

Scan社長インタビュー第1回「NRIセキュア柿木彰社長就任から200日間」前編2022.3.14 Mon 8:10

特集

現役ペンテスト技術者が選ぶ 使えるセキュリティツール

ペンテスト

特集 アクセスランキング

今日もどこかで情報漏えい 第26回「2024年6月の情報漏えい」ふたつの “完全には否定できない” 違いは どこを向いているか2024.7.25 Thu 8:10

能力のないサーバ管理者 サーバモンキーはネットセキュリティの危険因子2001.10.23 Tue 12:00

アンチ・シリコンジャーナリズム それってデータの裏付けあるの？ 前編「存在しない『炎上』の作り方」2021.7.28 Wed 8:15

Scan社長インタビュー 第1回「NRIセキュア 柿木 彰 社長就任から200日間」前編2022.3.14 Mon 8:10