はじめに
この実験では、強力なネットワークプロトコルアナライザーであるWiresharkで、カラーリングルールを作成して適用する方法を学びます。カラーリングルールを使うと、指定した条件に基づいてさまざまな種類のネットワークトラフィックを視覚的に区別できます。これにより、関心のあるネットワークアクティビティをすばやく見つけて分析できます。
この実験を終えるころには、Wiresharkのカラーリング機能をより深く理解できるようになります。ネットワーク分析のスキルが向上し、サイバーセキュリティ調査にも役立ちます。
カラーリングルールを確認してエクスポートする
このステップでは、まずWiresharkに登録されている既存のカラーリングルールを確認します。Wiresharkのカラーリングルールは、指定した条件に基づいてさまざまな種類のネットワークパケットを強調表示するために使います。これにより、キャプチャしたネットワークトラフィックから重要な情報をすばやく見つけて分析できます。ここでは、ルールの確認方法と、後で使うためにルールをエクスポートする方法も学びます。
まず、LinuxマシンでWiresharkを起動します。ターミナルを開き、次のコマンドを実行してください。このコマンドでWiresharkが起動し、カラーリングルールを操作できるようになります。
wireshark
Wiresharkが開いたら、カラーリングルールにアクセスします。Wiresharkウィンドウ上部のViewメニューを開き、Coloring Rules...を選択してください。Wireshark Coloring Rules Defaultダイアログが開きます。このダイアログで、Wiresharkのすべてのカラーリングルールを管理できます。
Wireshark Coloring Rules Defaultダイアログには、既存のカラーリングルールが一覧表示されます。各ルールには、特定の条件と対応する色が設定されています。ルールは、一覧に表示されている順番にキャプチャ済みパケットへ適用されます。少し時間を取ってルールを確認し、それぞれの説明を読んでください。これらのルールを理解すると、Wiresharkを使ってネットワークトラフィックをより効果的に分析する方法が分かります。
ルールを削除せずに一時的に無効または有効にしたい場合があります。その場合は、一覧で対象のルールを選択し、ルールの横にあるcheckboxをクリックしてください。チェックが入っている場合、ルールは有効です。チェックが外れている場合、ルールは無効です。特定のルールがパケットの色付けに与える影響を確認したいときに便利です。
次に、現在のカラーリングルールセットを後で使ったり、他の人と共有したりするために保存するとします。ルールをエクスポートするには、Wireshark Coloring Rules DefaultダイアログのExport...ボタンをクリックしてください。
Export...ボタンをクリックすると、ファイルダイアログが表示されます。カラーリングルールファイルの保存先を選択してください。/home/labex/projectディレクトリに移動します。後で簡単に識別できるように、ファイル名にはcolorizing_rules.txtのような分かりやすい名前を付けるとよいでしょう。
保存先を選び、ファイル名を入力したら、OKをクリックしてWireshark Coloring Rules Defaultダイアログを閉じます。これでカラーリングルールのエクスポートは完了です。
新しいカラーリングルールを作成する
このステップでは、Wiresharkで新しいカラーリングルールを作成する方法を学びます。カラーリングルールを使うと、特定のネットワークトラフィックを強調表示できるため、重要なパケットを見つけて分析しやすくなります。独自のルールを作成すれば、特に注目したい種類のネットワークトラフィックをすばやく識別できます。
まず、Wireshark Coloring Rules Defaultダイアログを開きます。WiresharkでView > Coloring Rules...の順に選択してください。このダイアログでは、カラーリングルールの作成、編集、削除など、すべてのルールを管理できます。
新しいカラーリングルールを作成するには、+ボタンをクリックします。既存のルール一覧に空のルール項目が追加されます。
新しいルールを追加すると、ダイアログの上部にNew coloring ruleという項目が表示されます。そのNameセルをダブルクリックし、HTTP Trafficと入力して、Enterを押して名前を確定してください。次に、そのFilterセルをダブルクリックし、httpと入力して、もう一度Enterを押します。フィルター式によって、このルールで強調表示するパケットをWiresharkに指定します。
次に、カラーリングの設定を確認します。ここには、foregroundボタンとbackgroundボタンという2つの重要なボタンがあります。
foregroundボタンでは、ルールに一致したパケットのテキストを強調表示する色を選択します。たとえば、HTTPパケットのテキストを赤にしたい場合は、このボタンで赤を選択します。
backgroundボタンでは、強調表示するパケットの背景色を選択します。背景色を設定すると、パケットをさらに目立たせることができます。たとえば、背景色を黄色に設定できます。
必要に応じて、ルールの優先順位を変更できます。Wiresharkでは、一覧内の順番に基づいてルールが適用されます。優先順位の高いルールが、優先順位の低いルールより先に適用されます。優先順位を変更するには、一覧でルールをdragして上下に移動します。
ルールの設定が終わったら、有効にする必要があります。ルールの横にあるcheckboxをクリックして、新しく作成したカラーリングルールを有効にしてください。その後、OKをクリックして新しいカラーリングルールを保存します。これで、パケットキャプチャにルールが適用されます。
Wiresharkでキャプチャファイルを開くかライブキャプチャを開始すると、フィルター式に一致するネットワークパケットが、ルールで選択した色で表示されます。これにより、関心のある特定のトラフィックを簡単に見つけて分析できます。
補足：ルールをテストするためにHTTPトラフィックを生成したい場合は、ブラウザーを起動できます。左下のApplicationsボタンからRun Program...をクリックし、Firefoxと入力してください。
既存のカラーリングルールを変更する
このステップでは、Wiresharkで既存のカラーリングルールを変更する方法を学びます。Wiresharkのカラーリングルールは、指定した条件に基づいてネットワークパケットを強調表示します。これにより、さまざまな種類のトラフィックをすばやく識別して分析できます。ルールを変更すると、パケットの表示方法をカスタマイズできるため、サイバーセキュリティ分析に必要な情報へ集中しやすくなります。
まず、Wiresharkを開きます。Wiresharkウィンドウ上部のViewメニューを開き、ドロップダウンメニューからColoring Rules...を選択してください。Wireshark Coloring Rules Defaultダイアログが開きます。このダイアログで、Wiresharkのすべてのカラーリングルールを管理できます。
Wireshark Coloring Rules Defaultダイアログには、既存のカラーリングルールが一覧表示されます。各ルールには、名前、フィルター式、対応する色が設定されています。一覧から変更したいカラーリングルールを選択してください。ルールをクリックすると、そのルールが選択されます。
ステップ2で作成したHTTP Trafficルールを選択します。Wiresharkでは、ルールのNameセルとFilterセルをルールテーブル上で直接編集します。別の編集ウィンドウは開きません。ルールのNameセルをダブルクリックし、テキストをWeb Trafficに置き換えて、Enterを押して名前を確定してから、別のセルを編集してください。
同じルールのFilterセルをダブルクリックし、テキストをhttp and tcp.port == 80に置き換えて、もう一度Enterを押してフィルターを確定します。元のフィルターhttpはすべてのHTTPトラフィックを強調表示します。更新後のフィルターは、TCPポート80上のHTTPトラフィックだけに対象を限定します。
rule's name: HTTP Traffic -> Web Traffic
filter expression: http -> http and tcp.port == 80
ルールの変更が終わったら、ダイアログのOKボタンをクリックしてください。変更したルールが保存され、Wiresharkは新しい設定でパケットの強調表示を開始します。
変更の効果を確認するには、Wiresharkで既存のキャプチャファイルを開くか、ライブキャプチャを開始します。パケットが表示されると、変更後のルールに一致するネットワークパケットが、更新後の色または新しいフィルター式に従って表示されます。これにより、関心のあるポート80上のWebトラフィックを簡単に見つけられます。
カラーリングルールをインポートする
このステップでは、Wiresharkにカラーリングルールをインポートする方法を学びます。Wiresharkのカラーリングルールを使うと、ネットワークトラフィックの種類ごとに異なる色を割り当て、すばやく識別できます。これにより、キャプチャしたデータを分析して理解しやすくなります。
まず、Wiresharkを開きます。起動したら、カラーリングルールの設定を開きます。Wiresharkウィンドウ上部のViewメニューを開き、ドロップダウンメニューからColoring Rules...を選択してください。Wireshark Coloring Rules Defaultダイアログが開きます。このダイアログで、Wiresharkのすべてのカラーリングルールを管理できます。
Wireshark Coloring Rules Defaultダイアログを開くと、いくつかのボタンが表示されます。カラーリングルールをインポートするには、Import...ボタンを探してクリックしてください。このボタンを使うと、外部ファイルに保存された事前定義済みのカラーリングルールを読み込めます。
Import...ボタンをクリックすると、Wireshark Import Coloring Rulesという新しいダイアログが表示されます。このダイアログで、インポートするカラーリングルールが含まれているファイルを探します。/home/labex/projectディレクトリに移動してください。ここには、先ほどエクスポートしたcolorizing_rules.txtファイルが保存されています。正しいディレクトリを開いたら、colorizing_rules.txtファイルを選択します。
colorizing_rules.txtファイルを選択したら、Openボタンをクリックします。カラーリングルールがWireshark Coloring Rules Defaultダイアログに読み込まれます。
ダイアログを閉じる前に、メインのWireshark Coloring Rules Defaultウィンドウ下部にあるOKボタンをクリックしてください。この最終確認によって、インポートしたルールがWiresharkの設定ファイルに保存されます。そのため、インポートしたARPルールを引き続き確認できます。
OKをクリックした後、インポートを確認したい場合はView > Coloring Rules...を再度開きます。一覧の下部までスクロールすると、新しくインポートしたカラーリングルールが表示されます。これは、インポートが正常に保存されたことを示しています。これで、Wiresharkでネットワークトラフィックを色分けするためにルールを使用できます。
まとめ
この実験では、Wiresharkでカラーリングルールを作成、変更、インポート、エクスポートする方法を学びました。これらのルールを使うと、指定した条件に基づいてさまざまな種類のネットワークトラフィックを視覚的に区別できるため、ネットワークアクティビティを簡単に識別して分析できます。このスキルは、サイバーセキュリティ調査、ネットワークトラブルシューティング、プロトコル分析で非常に役立ちます。
実践演習を通して、ルールセットを管理する経験を得ました。これらの技術を習得すると、ネットワーク分析のワークフローが向上し、興味のあるネットワークトラフィックのパターンをすばやく見つけて優先順位を付けられるようになります。
