はじめに
サイバーセキュリティの分野では、ネットワークトラフィックを理解し、ネットワークプロトコルを分析することが重要です。広く使用されているネットワークプロトコルアナライザである Wireshark は、キャプチャフィルタと呼ばれる強力な機能を提供しており、これを使ってネットワークデータを選択的にキャプチャし、分析することができます。このチュートリアルでは、Wireshark でキャプチャフィルタを作成し、適用する手順を説明します。これにより、あなたのサイバーセキュリティスキルを向上させ、ネットワーク関連の問題を効果的にトラブルシューティングすることができます。
Wireshark 入門
Wireshark は、ネットワークトラフィックのキャプチャ、分析、トラブルシューティングが可能な強力なネットワークプロトコルアナライザです。サイバーセキュリティやネットワーク管理の分野で広く使用されているツールです。Wireshark はネットワークアクティビティの包括的なビューを提供し、ユーザーが通信パターンを理解し、潜在的なセキュリティ問題を特定し、ネットワークパフォーマンスを最適化することを可能にします。
Wireshark とは？
Wireshark は、1998 年に当初は「Ethereal」という名前で開発されたオープンソースのソフトウェアアプリケーションです。Windows、macOS、Linux などのさまざまなオペレーティングシステムで利用可能です。Wireshark は、リアルタイムでネットワークトラフィックをキャプチャし、分析するように設計されており、ネットワークのトラブルシューティング、セキュリティ監視、プロトコル分析に不可欠なツールです。
Wireshark の主要な機能
- パケットキャプチャ：Wireshark は、有線 Ethernet、無線 Wi-Fi、さらには仮想ネットワークインターフェイスを含むさまざまなネットワークインターフェイスからネットワークトラフィックをキャプチャできます。
- プロトコル分析：Wireshark は数百のネットワークプロトコルの分析をサポートしており、ユーザーがネットワーク上のデバイス間の通信を理解することを可能にします。
- フィルタリングと検索：Wireshark は強力なフィルタリングと検索機能を提供し、ユーザーが特定のネットワークトラフィックをすばやく特定し、分析することを可能にします。
- ディスセクション：Wireshark はネットワークパケットの詳細な構造をディスセクトし、表示することができ、送信されているデータに関する洞察を提供します。
- レポート作成：Wireshark はさまざまなレポート作成とエクスポートオプションを提供し、ユーザーが自分の調査結果や分析を他の人と共有できるようにします。
Ubuntu 22.04 への Wireshark のインストール
Ubuntu 22.04 に Wireshark をインストールするには、次の手順に従ってください。
- Ubuntu 22.04 システムのターミナルを開きます。
- 次のコマンドを実行してパッケージインデックスを更新します。
sudo apt-get update - 次のコマンドを使用して Wireshark をインストールします。
sudo apt-get install wireshark - インストール中に、
dumpcapプログラムを構成するように求められる場合があります。非ルートユーザーにパケットをキャプチャさせるには、「はい」を選択してください。
インストールが完了したら、アプリケーションメニューから Wireshark を起動するか、ターミナルで wireshark コマンドを実行して起動することができます。
Wireshark のキャプチャフィルタ
Wireshark のキャプチャフィルタは、特定の条件に基づいてネットワークトラフィックを選択的にキャプチャすることができる強力な機能です。キャプチャフィルタを適用することで、分析を最も関連性の高いデータに絞り込むことができ、関係のない情報量を減らし、ネットワークのトラブルシューティングやセキュリティ監視の効率を向上させることができます。
キャプチャフィルタの理解
Wireshark のキャプチャフィルタは、ネットワークパケットをキャプチャするための条件を定義する式です。これらのフィルタは、次のようなさまざまなパラメータに基づくことができます。
- 送信元または宛先の IP アドレス
- 送信元または宛先のポート
- プロトコルタイプ（例：TCP、UDP、ICMP）
- 特定のパケット内容またはパターン
キャプチャフィルタを使用することで、キャプチャするトラブルを分析に関連するデータのみに絞り込むことができ、ネットワークの問題や潜在的なセキュリティ脅威を特定し、調査しやすくなります。
Wireshark でキャプチャフィルタを適用する
Wireshark でキャプチャフィルタを適用するには、次の手順に従ってください。
- Ubuntu 22.04 システムで Wireshark を起動します。
- Wireshark のメインウィンドウで、上部の「Filter」バーを見つけます。
- フィルタ式のフィールドをクリックし、希望するキャプチャフィルタを入力します。
- 「Apply」ボタンを押してフィルタを適用し、指定された条件に一致するトラブルのキャプチャを開始します。
ポート 80（HTTP）の TCP トラブルのみをキャプチャするキャプチャフィルタの例を次に示します。
tcp.port == 80
また、and、or、not などの論理演算子を使用して、複数の条件を組み合わせることもできます。たとえば、特定の IP アドレスからの HTTP トラブルのみをキャプチャするには、次のようにします。
ip.src == 192.168.1.100 and tcp.port == 80
キャプチャフィルタの構文と例
Wireshark は、キャプチャフィルタを定義するために特定の構文を使用します。この構文は、ネットワークパケットフィルタリングのために広く使用されている標準である Berkeley Packet Filter（BPF）言語に基づいています。
以下は、一般的なキャプチャフィルタの例とそれに対応する構文です。
| フィルタの説明 | キャプチャフィルタの構文 |
|---|---|
| すべての TCP トラブルをキャプチャする | tcp |
| 特定の IP アドレスへ/からのトラブルをキャプチャする | ip.addr == 192.168.1.100 |
| 特定のポートでのトラブルをキャプチャする | tcp.port == 80 |
| 2 つの IP アドレス間のトラブルをキャプチャする | ip.addr == 192.168.1.100 and ip.addr == 192.168.1.101 |
| HTTP 以外のトラブルをキャプチャする | not tcp.port == 80 |
| ICMP トラブルをキャプチャする | icmp |
キャプチャフィルタの構文は大文字と小文字を区別することに注意してください。利用可能なフィルタオプションの詳細については、Wireshark のドキュメントを参照してください。
キャプチャフィルタの作成と適用
Wireshark では、キャプチャフィルタを作成して適用するプロセスは簡単で、関心のある特定のネットワークトラフィックに分析を集中させることができます。このセクションでは、Ubuntu 22.04 システム上の Wireshark でキャプチャフィルタを作成して適用する手順を説明します。
キャプチャフィルタの作成
- Ubuntu 22.04 システムで Wireshark を起動します。
- Wireshark のメインウィンドウで、「Capture」メニューをクリックし、「Capture Filters」を選択します。
- 「Capture Filters」ウィンドウで、「+」ボタンをクリックして新しいフィルタを作成します。
- フィルタに「HTTP Traffic」などの分かりやすい名前を入力します。
- 「Filter」フィールドに、使用したいキャプチャフィルタ式を入力します。たとえば、HTTP トラフィックのみをキャプチャするには
tcp.port == 80と入力します。 - 「OK」をクリックしてフィルタを保存します。
キャプチャフィルタの適用
- Wireshark のメインウィンドウで、上部の「Filter」バーを見つけます。
- フィルタ式のフィールドをクリックし、ドロップダウンリストから作成したキャプチャフィルタを選択します。
- 「Apply」ボタンをクリックして、選択したフィルタに一致するトラフィックのキャプチャを開始します。
キャプチャフィルタの検証
キャプチャフィルタを適用した後は、Wireshark のメインウィンドウのパケットリストを確認することで、フィルタが正しく機能していることを検証できます。フィルタ条件に一致するパケットのみが表示されるはずです。
キャプチャフィルタを変更または削除する必要がある場合は、次の手順に従って行うことができます。
- Wireshark のメインウィンドウで、「Capture」メニューをクリックし、「Capture Filters」を選択します。
- 「Capture Filters」ウィンドウで、変更または削除したいフィルタを選択します。
- フィルタを変更するには「Edit」ボタンを、フィルタを削除するには「-」ボタンをクリックします。
- 変更を保存するか、フィルタを削除するには「OK」をクリックします。
Wireshark でキャプチャフィルタを作成して適用することで、ネットワーク分析とトラブルシューティングの作業を効率化し、最も関連性の高いデータに焦点を当て、作業の効率を向上させることができます。
まとめ
この「Wireshark でキャプチャフィルタを作成する方法」に関するチュートリアルでは、サイバーセキュリティの専門家にとって貴重なツールである Wireshark のキャプチャフィルタ機能について包括的な概要を提供しました。キャプチャフィルタを作成して適用する方法を学ぶことで、ネットワークトラフィックを選択的にキャプチャし、分析することができるようになりました。これにより、セキュリティ脅威を特定して対処し、ネットワークパフォーマンスを最適化し、ネットワーク関連の問題をより効果的にトラブルシューティングすることができます。
