Wiresharkによるネットワークフォレンジック

ネットワークフォレンジックは、キャプチャしたパケットデータ（PCAPファイル）を分析し、ホストベースのフォレンジックでは見えない、ラテラルムーブメント、C2通信、認証情報の窃取、データ流出、プロトコルの異常など、ネットワークレベルの攻撃者の活動を再構成します。

Wireshark（対話型）、tcpdump（CLI）、または専用のネットワークタップを使ってネットワーク証拠を収集します。インシデント発生前に、重要なセグメントへSPANポートまたはネットワークタップを配置してください。事後分析には、あらかじめ構築されたキャプチャ基盤が必要です。

表示フィルタで分析対象を絞り込めます。httpはHTTP、tcp.port==443はHTTPS、ip.addr==10.0.0.5は特定のホスト、dnsは名前解決クエリ、tcp.flags.syn==1 && tcp.flags.ack==0はSYNのみのパケット（ポートスキャンの検出）を表示します。

パケットを右クリックし、Follow → TCP Streamを選択すると、完全な通信を人間が読みやすい形式で再構成できます。HTTPの場合、完全なリクエストとレスポンスの本文が表示されるため、流出データやC2コマンドの再構成に役立ちます。

C2ビーコンは、同じ外部IPアドレスへの規則的で周期的な接続として現れます。ip.dst == [suspicious_ip]を適用してフレームのタイミングを確認します。少量のデータを伴う一定間隔（60秒、300秒、600秒ごとなど）の通信は、ビーコンの特徴です。

DNSクエリから、C2ドメイン、ドメイン生成アルゴリズム（DGA）のパターン、DNSトンネリングを明らかにできます。エントロピーの高いドメイン名（例：a1b2c3d4e5f6.evil.com）、通常とは異なるTXTレコードのクエリ、異常に大きなDNSレスポンスは、DNSベースのC2またはデータ流出を示します。

平文プロトコル（HTTP、FTP、SMTP、LDAP、Telnet）は、パケットキャプチャ上で確認できる形で認証情報を平文送信します。http contains "password"またはftp contains "PASS"でフィルタリングすると、インシデント発生期間中に認証情報が露出した箇所を特定できます。

暗号化されたTLSトラフィックは、秘密鍵またはプレマスターシークレットがなければ復号できません。ただし、JA3フィンガープリントによってTLSクライアントライブラリを特定できます（マルウェアには特徴的なJA3ハッシュがあります）。証明書のSubject Alternative NameからC2基盤が明らかになるほか、トラフィックのタイミングは確認できます。

流出の兆候には、通常とは異なる宛先への大規模な外向きデータ転送、Base64エンコードされた本文を含むHTTP POSTリクエスト、異常に大きなDNSレスポンス（DNSトンネリング）、大きなペイロードを含むICMPパケット、営業時間外の外向きトラフィックがあります。

NetworkMinerはPCAPから転送されたファイルを受動的に再構成します。HTTPまたはSMB経由で転送された画像、ドキュメント、実行ファイルが、抽出可能なファイルとして表示されます。また、キャプチャしたトラフィックから認証情報、証明書、メッセージも自動的に抽出します。

主要なネットワークイベントのタイムスタンプを抽出します。C2への初回接続、認証情報の送信、ラテラルムーブメント（内部ホストへの認証試行）、データのステージングと流出などです。これらのネットワークのタイムスタンプをホストベースのアーティファクトと関連付け、インシデント全体のタイムラインを作成します。

HTTPトラフィックのみを表示するWiresharkの表示フィルタは何ですか？

Wiresharkを使ったネットワークフォレンジックでは、PCAPの証拠から攻撃者のネットワーク活動を再構成します。C2ビーコンの検出、トンネリングを対象としたDNS分析、平文プロトコルにおける認証情報の窃取、TLSのJA3フィンガープリント分析、データ流出パターンの認識を組み合わせることで、ネットワーク層の攻撃証拠を明らかにできます。