competition-pcap-protocol

競技会 PCAP プロトコル

このスキルは、$ctf-sandbox-orchestrator がすでに有効化され、サンドボックスの前提、ノードの所有権、エビデンスの優先順位が確立された後にのみ、下流の専門特化として使用してください。まだそれが行われていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。

このスキルは、決定的なエビデンスが単一の IOC やホストログではなく、パケットの順序、プロトコルのフレーミング、またはストリームの再構築の中にある場合に使用してください。

ユーザーが明示的に英語を要求しない限り、簡体字中国語で回答してください。

クイックスタート

1. まずキャプチャの境界を確立します。ホスト、時間範囲、インターフェース、欠落パケット、再送信、ストリーム数などです。
2. ペイロードの意味をデコードする前に、トラフィックをセッションにグループ化します。
3. プロトコルのフレーミング、シーケンス、タイミング、転送されたアーティファクトを、孤立したパケットとしてではなくまとめて記録します。
4. パケットのエビデンスと、ホスト、マルウェア、またはアプリの挙動を関連付けるのは、セッションが再構築された後にのみ行います。
5. チャレンジの経路を証明する、最小のデコード済みストリームまたは転送されたアーティファクトを再現します。

ワークフロー

1. セッションマップを構築する

• エンドポイント、プロトコル、ポート、TLS ハンドシェイク、DNS ルックアップ、WebSocket アップグレード、長時間存続するストリームを特定します。
• 結論を出す前に、キャプチャ範囲の欠落、非対称ルーティング、パケットロス、または再アセンブリの問題に注意します。
• 制御チャネル、バルク転送、キープアライブ、ノイズを分離します。

2. プロトコル境界をデコードする

• フィールドを解釈する前に、TCP ストリームまたは UDP 会話を再アセンブリします。
• フレーミング、メッセージ順序、カスタムヘッダー、バイナリフィールド、圧縮、暗号化境界、オブジェクト転送を復元します。
• ペイロードの方向、タイミング、セッション状態を、デコードされた各メッセージと整合させます。

3. パケットを挙動に結び付ける

• どのパケットシーケンスが、どのホストイベント、マルウェアの分岐、ログインフロー、アップロード、窃取ステップ、またはコマンドチャネルに対応するかを示します。
• プロトコルの認識とアーティファクトの復元を区別します。HTTP、DNS、またはカスタム C2 と名付けるだけでは不十分であり、デコードされた内容や証明された下流の効果が必要です。
• デコード後にタスクが主にホストのタイムライン問題になった場合は、より厳密なフォレンジックタイムラインのスキルに切り替えてください。

このリファレンスを読む

• セッションチェックリスト、デコードチェックリスト、エビデンスのパッケージ化については、references/pcap-protocol.md を読み込んでください。
• 難しい部分が WebSocket または SSE のハンドシェイク、サブスクリプションフロー、リアルタイムフレーム、またはフレーム駆動の状態である場合は、$competition-websocket-runtime を優先してください。
• 難しい部分がカスタムハンドシェイク、フレーミング、チェックサム、シーケンス依存、または決定論的なリプレイハーネスである場合は、$competition-custom-protocol-replay を優先してください。

保持すべきもの

• ストリーム ID、エンドポイントのペア、パケット範囲、タイムスタンプ、プロトコルのフレーミング、オブジェクト境界
• デコードされたリクエスト、レスポンス、コマンド、転送されたファイル、およびそれらを運んだセッション
• チャレンジの挙動を証明する、正確なパケットシーケンスまたは再構築されたストリーム