Web トラフィック証拠の抽出

はじめに

このチャレンジでは、あなたは NetDefenders 社のサイバーセキュリティ研修生として、潜在的なデータ漏洩の調査を担当します。指導教官からネットワークトラフィックのキャプチャファイルが提供されました。あなたの任務は、フォレンジックトレーニング報告書のために、従業員と labex.io の間の通信証拠を抽出することです。

Wireshark を使用して、"labex" という文字列を含む TCP パケットをフィルタリングし、TCP ストリームを追跡（Follow TCP Stream）して一連の会話全体を調査し、その証拠をテキストファイルとして保存します。この実践的な演習では、セキュリティ専門家が不審な Web 通信を特定し記録するために使用する、不可欠なネットワークフォレンジック技術を習得します。

Web トラフィック証拠の抽出

NetDefenders 社のサイバーセキュリティ研修生として、あなたは潜在的なデータ漏洩を調査しています。指導教官は、従業員が labex.io にアクセスした際のネットワークトラフィックをキャプチャしました。あなたの任務は、フォレンジックトレーニング報告書の証拠として、その通信の詳細を抽出することです。

タスク

• キャプチャされた Wireshark のトラフィックをフィルタリングし、labex を含む TCP パケットのみを表示する。
• フィルタリングされたパケットから TCP ストリームを追跡し、プロジェクトフォルダ内に tcp_evidence.txt という名前で保存する。

要件

1. /home/labex/project ディレクトリにあるキャプチャファイル network_evidence.pcapng を Wireshark で開いてください。
2. 表示フィルタ（Display Filter）を使用して、内容に "labex" を含む TCP パケットのみを表示させてください。
3. フィルタリングされたパケットの 1 つを選択し、Wireshark の「TCP ストリームの解析（Follow TCP Stream）」機能を使用して、会話全体を表示してください。
4. TCP ストリームの内容を、/home/labex/project ディレクトリに tcp_evidence.txt というファイル名で保存してください。
5. 保存されたファイルには、使用しているシステムと labex.io の間の完全な TCP ストリームデータが含まれている必要があります。

例

正しいフィルタを適用すると、Wireshark の表示は以下のようになります。

TCP ストリームを追跡すると、会話データを示すウィンドウが表示されます。保存されるファイルには、TLS ハンドシェイク情報や暗号化された HTTPS トラフィックを含む、これらのデータが記録されます。

ヒント

• 特定のテキストを含む TCP パケットをフィルタリングするには、tcp contains "text" という形式を使用します。
• パケットを右クリックし、「Follow（解析）」 > 「TCP Stream（TCP ストリーム）」を選択すると、会話全体を表示できます。
• 「Follow TCP Stream」ウィンドウで、「Save As（名前を付けて保存）」ボタンをクリックしてストリームデータを保存します。
• ファイル名は指定された通りに、指定されたディレクトリに正確に保存してください。
• 保存ダイアログのデフォルトの場所が異なる場合があるため、保存前に /home/labex/project に移動していることを確認してください。

まとめ

このチャレンジでは、Wireshark を使用してネットワークフォレンジックのタスクを行い、キャプチャされたパケットファイルから Web トラフィックの証拠を抽出しました。調査では、潜在的なデータ漏洩を記録するために、システムと labex.io の間の通信を調査することに焦点を当て、内容に "labex" を含む関連 TCP パケットを特定するための特定の表示フィルタを適用しました。

このプロセスを通じて、ネットワークキャプチャファイルを開き、トラフィックをフィルタリングし、TCP ストリームを追跡して完全な通信内容を確認し、その証拠をテキストファイルとして保存する手順を学びました。これらの手法は、ネットワークフォレンジック調査を実施し、セキュリティインシデント報告書のための証拠を準備するサイバーセキュリティ専門家にとって、極めて重要なスキルです。