LinuxにおけるネットワークプロトコルアナライザWiresharkの基礎
WiresharkはKali Linuxが提供する貴重なツールの一つです。他のツールと同様に、ポジティブな目的にもネガティブな目的にも使用できます。もちろん、このガイドでは自分自身のネットワークトラフィックを監視して、潜在的に望ましくない活動を検出する方法について説明します。
Wiresharkは非常に強力で、初めは圧倒されるかもしれませんが、ネットワークトラフィックを監視するという唯一の目的に役立ちます。そして、それが提供する多くのオプションは、その監視能力を強化するためだけに役立っています。
インストール
KaliにはWiresharkが付属しています。しかし、wireshark-gtkパッケージは、Wiresharkを使用する際のより優れたインターフェースを提供し、より快適に作業できるようにします。したがって、Wiresharkを使用するための最初のステップは、wireshark-gtkパッケージをインストールすることです。
apt install wireshark-gtkライブメディアでKaliを実行していても心配しないでください。まだ動作します。
基本設定
他のことをする前に、Wiresharkを自分が最も快適に使用できる方法で設定するのが最良でしょう。Wiresharkは、いくつかの異なるレイアウトやプログラムの動作を設定するオプションを提供しています。その数は多いですが、それらの使用は非常に簡単です。
まず、Wireshark-gtkを開きます。GTKバージョンであることを確認してください。カリではそれらは別々にリストされています。
レイアウト
デフォルトでは、Wiresharkには3つのセクションが重なって表示されます。上部のセクションはパケットのリストです。中央のセクションはパケットの詳細です。下部のセクションには生のパケットバイトが含まれています。ほとんどの用途では、上の2つは下のものよりもはるかに便利ですが、より高度なユーザーにとっては依然として役立つ情報となることがあります。
セクションは展開したり収縮させたりできますが、その重ねたレイアウトは誰にでも合うわけではありません。Wiresharkの「環境設定」メニューで変更できます。そこに行くには、「編集」をクリックし、ドロップダウンメニューの一番下にある「環境設定...」を選択します。そうすると、さらに多くのオプションがある新しいウィンドウが開きます。サイドメニューの「ユーザーインターフェイス」の下の「レイアウト」をクリックしてください。
これから異なるレイアウトオプションが表示されます。上部のイラストを使用して、異なるペインの配置を選択することができ、ラジオボタンセレクターを使って各ペインに入るデータを選択することができます。
以下のタブは「列」とラベル付けされており、Wiresharkがパケットのリストに表示する列を選択できます。必要なデータが含まれているものだけを選択するか、すべてチェックを入れたままにしてください。
ツールバー
Wiresharkのツールバーでできることは多くありませんが、カスタマイズしたい場合は、最後のセクションのペイン配置ツールと同じ「レイアウト」メニューに役立つ設定があります。ツールバーのオプションはペインオプションの直下にあり、ツールバーやツールバー項目の表示方法を変更することができます。
「表示」メニューでツールバーの表示をカスタマイズすることもでき、チェックを入れたり外したりすることで選択できます。
機能性
Wiresharkがパケットをキャプチャする方法を変更するためのコントロールのほとんどは、「オプション」の「キャプチャ」にあります。
ウィンドウの上部の「キャプチャ」セクションでは、Wiresharkが監視すべきネットワークインターフェイスを選択できます。これは、システムや設定によって大きく異なる場合があります。正しいデータを取得するために、正しいボックスにチェックを入れてください。仮想マシンとその関連ネットワークもこのリストに表示されます。また、複数のネットワークインターフェイスカードに対する複数のオプションもあります。
ネットワークインターフェースのリストのすぐ下には2つのオプションがあります。一つはすべてのインターフェースを選択することを可能にします。もう一つは、プロミスキュアスモードを有効または無効にすることができます。これにより、コンピュータは選択されたネットワーク上の他のすべてのコンピュータのトラフィックを監視することができます。ネットワーク全体を監視しようとしている場合は、これが望むオプションです。
警告： あなたが所有していない、または監視する許可のないネットワークでのプロミスカスモードの使用は違法です！
画面の左下には「表示オプション」と「名前解決」セクションがあります。「表示オプション」については、すべてのチェックボックスをオンにしておくのが良いでしょう。チェックを外したい場合でも問題ありませんが、「パケットのリストをリアルタイムで更新」が常にチェックされているべきです。
「名前解決」の下で、あなたの好みを選ぶことができます。オプションを多く選択すると、より多くのリクエストが生成され、パケットリストが混雑します。MAC解決を確認することは、使用されているネットワークハードウェアのブランドを確認するのに良い考えです。それにより、どのマシンとインターフェースが相互作用しているかを特定するのに役立ちます。
キャプチャ
キャプチャはWiresharkの中心です。その主な目的は、指定されたネットワークのトラフィックを監視し記録することです。最も基本的な形では、非常にシンプルに行います。しかし、もちろん、Wiresharkのさらなる機能を利用するために、より多くの設定やオプションを使用することができます。このイントロダクションのセクションでは、最も基本的な録画に重点を置きます。
新しいキャプチャを開始するには、新しいライブキャプチャボタンを押してください。それは青いサメのひれのように見えるはずです。
Wiresharkはキャプチャ中に可能な限りすべてのパケットデータを収集し、記録します。設定によっては、「パケット一覧」ペインに新しいパケットが表示されるはずです。興味のあるパケットをクリックしてリアルタイムで調査することもできますし、ただ離れてWiresharkを実行し続けることもできます。
完了したら、赤い四角い「停止」ボタンを押してください。 これで、キャプチャを保存するか破棄するかを選択できます。 保存するには、「ファイル」をクリックしてから「保存」または「名前を付けて保存」を選択します。
データを読む
Wiresharkは、必要なすべてのデータを提供することを目指しています。そのため、監視しているネットワークパケットに関連する大量のデータを収集します。このデータを整理しやすくするために、折りたたみ可能なタブに分けて表示します。それぞれのタブは、パケットに関連するリクエストデータの一部に対応しています。
タブは最も低いレベルから最も高いレベルの順にスタックされています。最上位のタブは常にパケットに含まれるバイトのデータを含みます。最も低いタブは変わることがあります。HTTPリクエストの場合、HTTP情報が含まれます。遭遇するパケットの大多数はTCPデータであり、それが最下位のタブになります。
各タブには、そのパケットの部分に関連するデータが含まれています。HTTPパケットには、リクエストの種類、使用されるウェブブラウザ、サーバーのIPアドレス、言語、エンコードデータに関する情報が含まれます。TCPパケットには、クライアントとサーバーの両方で使用されているポートや、TCPハンドシェイクプロセスに使用されているフラグに関する情報が含まれます。
他の上位フィールドには、ほとんどのユーザーに興味を持たせるような情報が少なく含まれています。パケットがIPv4またはIPv6を介して転送されたかどうか、さらにクライアントとサーバのIPアドレスに関する情報が含まれているタブがあります。別のタブでは、クライアントマシンとインターネットにアクセスするために使用されるルーターまたはゲートウェイのMACアドレス情報が提供されています。
締めくくりの考え
これらの基本だけでも、Wiresharkがどれほど強力なツールであるかがわかります。ネットワークトラフィックを監視することで、サイバー攻撃を防止したり、接続速度を向上させたりできます。また、問題のあるアプリケーションを追跡するのにも役立ちます。次のWiresharkガイドでは、Wiresharkを使用してパケットをフィルタリングするためのオプションを探ります。