アーティファクトの抽出

アーティファクトとは、キャプチャの中に隠れている意味のある項目です。転送されたファイル、認証情報、画像、セッションデータなどが含まれます。

これらを復元すると、パケットの流れが、何が送信され何が見られたかを示す具体的な証拠になります。

1つのファイルは、多数のTCPセグメントに分割されています。復元するには、ストリームを順序どおりに再構成する必要があります。

ストリームを追跡したりオブジェクトをエクスポートしたりすると、Wiresharkや専用ツールがこの処理を自動的に行います。

Wiresharkでは、HTTP経由で転送されたすべてのファイルを一覧表示し、ワンクリックでエクスポートできます。

これにより、ダウンロードされた文書、画像、さらにはマルウェアのサンプルまで、キャプチャから直接復元できます。

HTTP、FTP、Telnetなどのプロトコルは、認証情報を平文で送信します。ストリームを追跡すると、ユーザー名とパスワードを直接確認できます。

これは、信頼できないネットワーク上でこれらのプロトコルが危険な理由を、まさに示しています。

ディスプレイフィルタを使えば、認証トラフィックをすばやく見つけられるため、手作業で探す必要がありません。

ログインフォーム、Basic認証ヘッダー、既知の認証プロトコルでフィルタします。

HTTP Basic認証は、認証情報を暗号化せず、Base64でエンコードして送信します。ヘッダーをデコードすると、認証情報がすぐに分かります。

Base64はエンコードであり、セキュリティではありません。

プロトコルがネイティブにサポートされていない場合でも、ファイルシグネチャ、つまりマジックナンバーを認識すれば、生のバイトからファイルをカービングできます。

foremostやbinwalkなどのツールは、キャプチャのペイロードをスキャンして、これらのマーカーを探します。

NetworkMinerは、アーティファクトの抽出に特化したツールです。pcapを入力すると、ファイル、画像、認証情報、ホスト情報を自動的に抽出します。

Wiresharkで詳しく調査する前の、迅速な初期調査に適しています。

復元された画像から、ユーザーが何を閲覧またはアップロードしたかが分かることがあります。WiresharkのExport ObjectsとNetworkMinerは、どちらもWebやメールのトラフィックから画像を再構成できます。

画像を確認することで、どのデータがネットワーク外へ出たのかを直接立証できます。

トラフィックがTLSで暗号化されている場合、セッションキーがなければアーティファクトを抽出できません。キー・ログファイルがあれば、復号して通常どおり抽出できます。

キーがなければ、暗号化によってペイロードが保護されます。これこそがHTTPSの目的です。

抽出したアーティファクトは証拠になる可能性があります。各ファイルのハッシュ値を計算し、どこでいつ復元したかを記録して、改変せずに保管します。

証拠保全の連鎖を文書化することで、調査結果の信頼性と証拠能力を維持できます。

キャプチャからアーティファクトを抽出する方法を学びました。

• TCPストリームを再構成してファイルを復元します。
• HTTP Objectsをエクスポートし、ストリームを追跡して平文の認証情報を確認します。
• Basic認証はBase64であり、暗号化ではありません。
• マジックナンバーでファイルをカービングし、迅速な抽出にはNetworkMinerを使います。
• TLSの復号はセッションキーがある場合に限り行い、証拠保全の連鎖を維持します。

Network Traffic Analysisコースを修了しました。