Wireshark で DNS 通信をフィルタリング

はじめに (Introduction)

このチャレンジ (challenge) では、あなたは CyberDefend Inc. のネットワークセキュリティアナリストとして、潜在的な DNS トンネリング攻撃を示唆する疑わしい活動のため、社内ネットワーク上の DNS トラフィックを監視する役割を担います。あなたの目的は、セキュリティ分析のために DNS 通信のみを分離してキャプチャすることです。

Wireshark を使用して、適切なキャプチャフィルタ "udp port 53" を適用し、特に DNS トラフィックをターゲットにし、少なくとも 10 個のパケットをキャプチャし、指定されたディレクトリに pcapng ファイルとして保存する必要があります。この実践的な演習は、ネットワークトラフィックのフィルタリングとプロトコル分析における重要なスキルを開発するのに役立ちます。これらのスキルは、ネットワーク通信における潜在的なセキュリティ脅威を特定し、調査するために不可欠です。

Skills Graph

%%%%{init: {'theme':'neutral'}}%%%% flowchart RL wireshark(("Wireshark")) -.-> wireshark/WiresharkGroup(["Wireshark"]) wireshark/WiresharkGroup -.-> wireshark/packet_capture("Packet Capture") wireshark/WiresharkGroup -.-> wireshark/capture_filters("Capture Filters") wireshark/WiresharkGroup -.-> wireshark/export_packets("Exporting Packets") subgraph Lab Skills wireshark/packet_capture -.-> lab-548826{{"DNS 通信をフィルタリングする"}} wireshark/capture_filters -.-> lab-548826{{"DNS 通信をフィルタリングする"}} wireshark/export_packets -.-> lab-548826{{"DNS 通信をフィルタリングする"}} end

DNS 通信のフィルタリング (Filter DNS Communications)

CyberDefend Inc. のネットワークセキュリティアナリストとして、あなたは社内ネットワーク上の DNS トラフィックを監視する任務を負っています。最近の疑わしい活動は、潜在的な DNS トンネリング攻撃を示唆しています。あなたの仕事は、さらなる分析のために DNS トラフィックのみを分離してキャプチャすることです。

タスク (Tasks)

Wireshark を使用して、キャプチャフィルタ "udp port 53" で DNS トラフィックのみを収集し、キャプチャしたパケットを /home/labex/project ディレクトリに dns_capture.pcapng として保存します。

要件 (Requirements)

ターミナルまたはアプリケーションメニューから Wireshark を起動します。
Berkeley Packet Filter (BPF) 構文を使用して、DNS トラフィックのみをキャプチャするようにキャプチャフィルタを設定します。正しいフィルタ式は udp port 53 です。
少なくとも 10 個の DNS トラフィックパケットをキャプチャします。
キャプチャしたパケットをファイル /home/labex/project/dns_capture.pcapng に保存します。
保存後、キャプチャしたファイルを変更しないでください。

例 (Examples)

チャレンジ (challenge) を正常に完了すると、Wireshark ウィンドウは次のようになります。

パケットリストには、DNS クエリと応答パケットのみが表示されます。
プロトコル (protocol) 列には、ほとんどのパケットに対して DNS が表示されます。
情報 (info) 列には、google.com、facebook.com などのドメイン (domain) のクエリ (query) が表示されます。
送信元 (source) ポート (port) と宛先 (destination) ポートには、ポート 53 が含まれます。

ヒント (Hints)

DNS は通常、ポート 53 で UDP を使用しますが、TCP ポート 53 も使用する場合があります。このチャレンジ (challenge) では、UDP ポート 53 に焦点を当てるだけで十分です。
Wireshark でキャプチャフィルタを設定するには、メインインターフェイスまたは [キャプチャオプション] (Capture Options) ダイアログ (dialog) で [キャプチャフィルタ] (Capture Filter) フィールドを探します。
トラフィックが流れている適切なネットワークインターフェイス (network interface) (通常はプライマリネットワークアダプタ (network adapter) または "any") を選択してください。
十分な DNS パケットを収集するために、キャプチャを少なくとも 30 秒間実行してください。
Wireshark ツールバー (toolbar) の赤い四角いボタンをクリックして、キャプチャを停止できます。
キャプチャを保存するには、Wireshark メニュー (menu) から [ファイル] (File) > [名前を付けて保存] (Save As) を使用します。

✨ 解答を確認して練習

まとめ (Summary)

このチャレンジ (challenge) では、私は CyberDefend Inc. のネットワークセキュリティアナリストとして、潜在的なトンネリング攻撃のために DNS トラフィックを監視する役割を担いました。Wireshark を使用して DNS 通信を分離する方法を学びました。具体的には、Berkeley Packet Filter (BPF) 構文 "udp port 53" でキャプチャフィルタを設定し、DNS トラフィックをターゲットにしました。

この演習では、Wireshark を起動し、適切なキャプチャフィルタを適用し、google.com や facebook.com などのドメイン (domain) への nslookup クエリ (query) から生成された少なくとも 10 個の DNS パケットを収集し、キャプチャされたデータを指定された場所に保存する必要がありました。この実践的なアプリケーション (application) は、セキュリティ専門家がネットワーク通信を調査する際に、特定のプロトコル (protocol) トラフィックに焦点を当て、潜在的なセキュリティ脅威のより効率的な分析を可能にする方法を示しました。