wireshark-analysis

Wireshark ネットワークトラフィック分析

詳細ガイド

このスキルを実行する前に、詳細ガイドをお読みください。完全な手順と参考資料が記載されています。その安全性、前提条件、検証要件は必須事項として扱ってください。集中的な作業には関連するセクションを読み込み、エンドツーエンドの作業にはガイド全体をお読みください。

制約とガードレール

運用上の境界

• 許可されたネットワークトラフィックのみをキャプチャする
• キャプチャしたデータはプライバシーポリシーに従って取り扱う
• 機密性の高い認証情報を不必要にキャプチャすることを避ける
• 機密データを含む PCAP ファイルを適切に保護する

技術的な制限

• 大規模なキャプチャは大量のメモリを消費する
• 暗号化されたトラフィックの内容は鍵がないと閲覧できない
• 高速ネットワークではパケットがドロップされることがある
• 一部のプロトコルは完全なデコードにプラグインを必要とする

ベストプラクティス

• キャプチャフィルターを使用して収集するデータを制限する
• 長時間のセッションでは定期的にキャプチャを保存する
• パケットを削除するのではなく表示フィルターを使用する
• 分析の結果と方法論を文書化する

例

例 1: HTTP 認証情報の分析

シナリオ: 平文での認証情報送信の可能性を調査する

1. Filter: http.request.method == "POST"
2. Look for login forms
3. Follow HTTP Stream
4. Search for username/password parameters

結果: 認証情報が平文形式のフォームデータとして送信されていました。

例 2: マルウェアの C2 検出

シナリオ: コマンドアンドコントロールトラフィックを特定する

1. Filter: dns
2. Look for unusual query patterns
3. Check for high-frequency beaconing
4. Identify domains with random-looking names
5. Filter: ip.dst == SUSPICIOUS_IP
6. Analyze traffic patterns

指標:

• 定期的な時間間隔
• エンコードまたは暗号化されたペイロード
• 異常なポートまたはプロトコル

例 3: ネットワークのトラブルシューティング

シナリオ: 遅い Web アプリケーションを診断する

1. Filter: ip.addr == WEB_SERVER
2. Check Statistics > Service Response Time
3. Filter: tcp.analysis.retransmission
4. Review I/O Graph for patterns
5. Check for high latency or packet loss

結果: ネットワークの輻輳を示す TCP 再送が確認されました。

使用する場面

このスキルは、概要に記載されているワークフローまたはアクションを実行する場合に適用できます。