DNS 通信のフィルタリング

はじめに

このチャレンジでは、あなたは CyberDefend 社のネットワークセキュリティアナリストとして、社内ネットワーク上の DNS トラフィックを監視する任務に就きます。最近、DNS トンネリング攻撃の可能性を示唆する不審なアクティビティが検出されました。あなたの目的は、さらなるセキュリティ分析のために DNS 通信のみを分離してキャプチャすることです。

Wireshark を使用して、DNS トラフィックを特定するための適切なキャプチャフィルタ udp port 53 を適用し、少なくとも 10 個のパケットをキャプチャして、指定されたディレクトリに pcapng ファイルとして保存する必要があります。この実践的な演習は、ネットワーク通信における潜在的なセキュリティ脅威を特定・調査するために不可欠な、ネットワークトラフィックのフィルタリングとプロトコル分析のスキルを習得するのに役立ちます。

DNS 通信のフィルタリング

CyberDefend 社のネットワークセキュリティアナリストとして、社内ネットワークの DNS トラフィックを監視してください。最近の不審な動きから、DNS トンネリング攻撃の疑いがあります。あなたの仕事は、詳細な分析のために DNS トラフィックのみを抽出してキャプチャすることです。

タスク

Wireshark でキャプチャフィルタ udp port 53 を使用して DNS トラフィックのみを収集し、キャプチャしたパケットを /home/labex/project ディレクトリに dns_capture.pcapng という名前で保存してください。

要件

ターミナルまたはアプリケーションメニューから Wireshark を起動します。
Berkeley Packet Filter (BPF) 構文を使用して、DNS トラフィックのみをキャプチャするようにキャプチャフィルタを設定します。正しいフィルタ式は udp port 53 です。
少なくとも 10 個の DNS トラフィックパケットをキャプチャします。
キャプチャしたパケットを /home/labex/project/dns_capture.pcapng ファイルに保存します。
保存後、キャプチャファイルを変更しないでください。

例

チャレンジが正常に完了すると、Wireshark のウィンドウは以下のようになります：

パケットリストには DNS のクエリとレスポンスのパケットのみが表示されます。
「Protocol」列のほとんどのパケットに「DNS」と表示されます。
「Info」列には google.com や facebook.com などのドメインに対するクエリが表示されます。
送信元または送信先のポートにポート 53 が含まれます。

ヒント

DNS は通常、ポート 53 の UDP を使用しますが、場合によっては TCP ポート 53 を使用することもあります。このチャレンジでは、UDP ポート 53 に焦点を当てるだけで十分です。
Wireshark でキャプチャフィルタを設定するには、メインインターフェースまたは「Capture Options（キャプチャオプション）」ダイアログにある「Capture Filter」フィールドを探してください。
トラフィックが流れている適切なネットワークインターフェース（通常はプライマリネットワークアダプタ、または「any」）を選択していることを確認してください。
十分な数の DNS パケットを収集するために、キャプチャを少なくとも 30 秒間実行してください。
Wireshark ツールバーの赤い四角いボタンをクリックすると、キャプチャを停止できます。
キャプチャを保存するには、Wireshark メニューの「File（ファイル）」 > 「Save As（名前を付けて保存）」を使用します。

✨ 解答を確認して練習

まとめ

このチャレンジでは、CyberDefend 社のネットワークセキュリティアナリストとして、トンネリング攻撃の可能性に備えて DNS トラフィックを監視する役割を担いました。Berkeley Packet Filter (BPF) 構文の udp port 53 を使用してキャプチャフィルタを設定し、DNS 通信を特定して分離する方法を学びました。

この演習では、Wireshark の起動、適切なキャプチャフィルタの適用、google.com や facebook.com などのドメインへの nslookup クエリによって生成された少なくとも 10 個の DNS パケットの収集、および指定された場所へのキャプチャデータの保存を行いました。この実践的な応用を通じて、セキュリティ専門家がネットワーク通信を調査する際に、特定のプロトコルトラフィックに焦点を当てることで、潜在的なセキュリティ脅威をより効率的に分析できることを体験しました。