現役ペンテスト技術者が選ぶ 使えるセキュリティツール(25) 「ただのパケットモニタリングツールではない −Wireshark(3)」 | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.12.17(日)

現役ペンテスト技術者が選ぶ 使えるセキュリティツール(25) 「ただのパケットモニタリングツールではない −Wireshark(3)」

特集 特集

 このコーナーでは、現役のペネトレーションテスト技術者が、使えるセキュリティツールを、ペンテストの現場の視点から紹介します。

◆名称: Wireshark(3)
◆配布制限: フリーウェア
◆商用版の有無: 無
◆類似ツール: Packetyzer
◆DL URL: http://www.wireshark.org/
◆対応OS: Windows系OS、Unix系OS、OSX
◆分野: ネットワークプロトコル分析
◆コマンド一覧:

(1)基本項目と概要

 前回、前々回で、「Wireshark」での、パケットキャプチャ、そして、パケット保存について紹介させていただいた。

 しかし、これだけでは、パケット分析とは呼べず、GUIの利点をあまり活かしきれいるとは言いがたい。

 そこで、今回は、分析を行う上で便利な機能をいくつか紹介させていただく。

(2)コマンドサンプル

■マーキング

 分析を行う際には、数多くのパケットをチェックすることになる。したがって、分析に役立つと思われるようなパケットも当然一つではないことも多々あるだろう。分析中に、重要なパケットを見失っては非常に非効率である。

 それを補うために、「Wireshark」では、二つのマーキング機能がある。

一つ目は、キャプチャ結果にマーキングを行う「Mark Packets(toggle)」(以下、PM)
もう一つは、時間にマーキングを行う「Set Time Reference(toggle)」(以下、TM)

である。

 PMを行うには、まず、マーキングしたいパケットを選択し、メニューバーの[Edit]→[Mark Packets(toggle)]をクリックする。([Ctrl + M]でも可能)

 すると、選択した行の色が、黒に変化する。

図1:
https://www.netsecurity.ne.jp/images/article/ws-packet_mark.jpg

 これで、視覚的に分かりやすいというだけでなく、[Edit]→[Find Next Mark]や[Find Previous Mark]とすることで、目的のパケットを発見しやすくなるという利点がある。

 また、表示しているすべてのパケットにマーキングを行うこともできるため、一旦、フィルタを行ってから、すべてのマーキングを行っておけば、フィルタを解除しても、フィルタ条件にマッチしていたパケットを見つけやすくなるという使い方も可能である。

 次に、TMだが、こちらもマーキング方法はPMと要領は同じである。マーキングを行いたい行を選択し、[Edit]→[Set Time Reference(toggle)]([Ctrl + T] でも可能)とするだけである。

 マーキングを行うという意味では、PMと同じなのだが、こちらは時間表示の面で少し異なる点がある。TMを行った場合、PMのように黒くなるなどの色の変化はないが、時間が表示される部分に[*REF*]と表示されるようになる。

図2:
https://www.netsecurity.ne.jp/images/article/ws-time_mark.jpg

 デフォルトで、時間の部分はパケットキャプチャ開始時からの時間が表示されているが、TMを設定することで、起点となるパケットからの時間のカウントを表示させることが可能となる。PMと同じく複数設定可能であり、マーキングされている場所を発見することも容易となる。


■プロトコルの割合表示

 分析する上でキャプチャされたパケットの種類(プロトコル)別に全体を把握し、その割合を知りたい場合がある。その際には、この機能が非常に重宝される機能である。

 これを表示するには、[Staticetic]→[Protocl Hierarchy]と選択する。

図3:
https://www.netsecurity.ne.jp/images/article/ws-protocol_hierarchy.jpg

 割合を表示する際には、現在、表示されているパケットが対象となるので、フィルタを行っている際にはフィルタ結果からの割合表示となる。

 筆者がこの機能を重宝した場面としては、とあるネットワークの分析を依頼されたときである。組織内のトラフィックの分析を行った欲しいという依頼だったのだが、この統計機能も分析の一つとして提出させていただいた。その際に発見したのは、図3にもあるようなIM(Instant Messenger)であった。多くのパケットの中から全体を把握し、ある種の「アタリ」をつけることにこの機能は向いていると言える。

 また、この表示結果からフィルタを適用することも可能でる。目的の結果を選択し、右クリックメニューを表示し、[Apply as Filter]→[Selected]とすればフィルタが適用される。

■グラフ

 分析を行う際には、数字での統計を見ることもよいのだが、やはり、GUIの強みを活かすという点においてグラフというものは必須ではないだろうか。すべての統計では見えないものも、時間の経過という軸を加味することで見えてくることもあると筆者は思っている。

 グラフの表示方法だが、メニューから[Staticetic]→[IO Graphs]を選択する。

https://www.netsecurity.ne.jp/images/article/ws-io_1.jpg

 しかし、これだけを見ても全体の通信の量を時系列でグラフ化しただけであり、あまり意味がない。

 そこで、ここでも…

【執筆:NTTデータ・セキュリティ株式会社 辻 伸弘】

【関連記事】
現役ペンテスト技術者が選ぶ 使えるセキュリティツール(21)
「パケットには真実がある − パケットモニタリング系ツール」
https://www.netsecurity.ne.jp/3_11732.html
現役ペンテスト技術者が選ぶ 使えるセキュリティツール(22)
「パケットモニタリングツールの王道 −tcpdump」
https://www.netsecurity.ne.jp/3_11765.html
現役ペンテスト技術者が選ぶ 使えるセキュリティツール(23)
「ただのパケットモニタリングツールではない −Wireshark(1)」
https://www.netsecurity.ne.jp/3_11940.html
現役ペンテスト技術者が選ぶ 使えるセキュリティツール(24)
「ただのパケットモニタリングツールではない −Wireshark(2)」
https://www.netsecurity.ne.jp/3_11982.html
──
※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

特集 カテゴリの人気記事 MONTHLY ランキング

  1. ここが変だよ日本のセキュリティ 第31回「中二病全開!アンチ・アンチ・オーディット作戦発動!!」

    ここが変だよ日本のセキュリティ 第31回「中二病全開!アンチ・アンチ・オーディット作戦発動!!」

  2. グローバルで活躍するプロフェッショナル - EYのサイバーセキュリティ部隊に仕事とキャリアを聞く

    グローバルで活躍するプロフェッショナル - EYのサイバーセキュリティ部隊に仕事とキャリアを聞く

  3. [数字でわかるサイバーセキュリティ] 2018年度政府サイバーセキュリティ予算、大規模予算施策一覧

    [数字でわかるサイバーセキュリティ] 2018年度政府サイバーセキュリティ予算、大規模予算施策一覧

  4. クラウドセキュリティ認証「ISO 27017」「ISO 27018」の違いとは? ~クラウドのよさを活かす認証コンサル LRM 社 幸松 哲也 社長に聞く

  5. [セキュリティホットトピック] まるで海外アングラサイト? 中学生がフリマアプリでウイルス売買し書類送検

  6. ここが変だよ日本のセキュリティ 第30回「ダメンズ・オーディット! 上場企業なら避けて通れない監査対応に監査感激!」

  7. 工藤伸治のセキュリティ事件簿 シーズン 7 「アリバイの通信密室」 第11回「五十四歳」

  8. [セキュリティホットトピック] 金融機関情報を狙う「DreamBot」「Gozi・Ursnif」、国内でまた活発化

  9. 工藤伸治のセキュリティ事件簿 シーズン 7 「アリバイの通信密室」 第12回「社長面談」

  10. スマホが標的のフィッシング詐欺「スミッシング」とは、現状と対策(アンラボ)

全カテゴリランキング

特集

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×