プロトコルの読み取り

ネットワークトラフィックはレイヤーに分かれて構成されています。各パケットは、封筒の中に封筒を重ねるように、下位層のプロトコルの中に上位層のプロトコルを包みます。

トラフィックを読むには、これらのレイヤーを正しい順番で一つずつ読み解きます。

TCP接続は、SYN、SYN-ACK、ACKによる3ウェイハンドシェイクで始まります。これを確認できれば、実際に接続が確立されたことが分かります。

SYNを送信したのにSYN-ACKの応答がない場合は、閉じたポートか、ファイアウォールによる破棄を示すことがよくあります。

TCPのフラグから接続状態が分かります。通信を追跡するために、よく使われるフラグを覚えましょう。

• SYN：開始。
• ACK：確認応答。
• FIN：正常な終了。
• RST：強制的なリセット。

WiresharkではTCPストリームを追跡して、ばらばらのパケットではなく、通信を読みやすいテキストとして再構成できます。

パケットを右クリックしてFollowを選択すると、リクエストとレスポンス全体をまとめて確認できます。

HTTPトラフィックは、暗号化されていなければ平文です。メソッド、パス、ヘッダー、ボディを直接読み取れます。

そのため、暗号化されていないHTTPは分析に役立つ豊富な情報源である一方、ネットワーク所有者にとってはリスクでもあります。

HTTPSはHTTPをTLSで包むため、ペイロードは暗号化されます。それでもTLSハンドシェイク、SNIホスト名、証明書は確認できます。

鍵がなければボディは読み取れませんが、メタデータからも状況を読み取れます。

DNSクエリから、ホストが接続しようとしているドメインが分かります。多くの場合、接続が確立される前に確認できます。

クエリとそのレスポンスから、要求された名前と解決されたアドレスが分かります。

DNSは分析者にとって宝の山です。既知の悪性ドメイン、長くランダムに見えるサブドメイン、異常に多いクエリを探すと、不審な動作の手がかりになります。

異常を探す際には、これを大いに活用します。

すべてがTCPとは限りません。UDPは接続を確立せず（DNS、DHCP、QUICで使われます）、ICMPはpingや到達不能エラーなどの制御メッセージを運びます。

ICMPの通信量が異常に多い場合は、スキャンやトンネリングの兆候かもしれません。

WiresharkのStatisticsメニューでは、プロトコル階層、通信、エンドポイントなど、キャプチャの概要を確認できます。

まずここから分析を始め、どのプロトコルが大半を占め、どのホストが最も多く通信しているかを確認しましょう。

優れた分析者は、ネットワークの正常な状態を把握します。正常な状態が分かれば、異常がすぐに目につきます。

プロトコルを流暢に読み取ることが、これから学ぶすべての基礎になります。

プロトコルの読み取りについての理解度を確認します。

ネットワークプロトコルの読み取り方を学びました。

• トラフィックはレイヤー構造になっています。Ethernet、IP、TCP/UDP、アプリケーションの順です。
• TCPはSYN、SYN-ACK、ACKで開始し、フラグから状態が分かります。
• Follow TCP Streamで通信を再構成できます。
• HTTPは読み取れますが、HTTPSで確認できるのはTLSメタデータとSNIだけです。
• DNSから接続先が分かり、Statisticsで正常な状態を見つけられます。

次は、異常と悪意のあるトラフィックを検出します。