大量パケットの分析方法 hebikuzure 実践 パケット.pdfVIP

大量パケットの分析方法 hebikuzure 実践パケット解析――Wireshark を使った トラブルシューティング • http://www.oreilly.co.jp/books/9784873113517/ • ISBN978-4-87311-351-7 公式サイトからダウンロードしてインス トールしましょう / 最新バージョンを利用しましょう • セキュリティ修正が含まれます • 古いバージョンは攻撃対象になります • 現在の最新版は 1.6.1 (7/18 リリース) Windows 環境では同梱のWinPcap を利用 しましょう WinPcap 4.1 以降のバージョンではNPF サービスが自動起動に設定されます • [管理者として実行] しなくてもパケットキャプ チャができます • 自動起動で問題がある場合は、以下のレジストリ キーで設定が変更できます HKLM¥SYSTEM¥CurrentControlSet¥services¥ NPF¥Start  0x1 : SERVICE_SYSTEM_START  0x2 : SERVICE_AUTO_START  0x3 : SERVICE_DEMAND_START How To Set Up a Capture /CaptureSetup Security /Security Platform-Specific information about capture privileges /CaptureSetup/ CapturePrivileges Expert Info Composite 機能 対話(Conversations) 統計機能 終端(Endpoint) 統計機能 IO Graph 機能 個々のパケットの解析の繰り返しでは抽出 するのが困難な大量のデータ 特異パケットを自動抽出 マクロ的分析 データの可視化  [Statistics] – [Summary] Expert Info Composite 機能  [Analyze] – [Expert Info Composite] または  ここをクリック 特異情報があるパケットが分類されて表示 される 不正パケット、チェックサムエラーなど • チェックサムエラーはChecksum Offload のため で、問題ない場合がほとんど  キャプチャ時、NIC のChecksum Offload を無効にする • 基本的にネットワーク ドライバー側の設定 • Windows なら[デバイスマネージャー] からネッ トワークアダプターのプロパティーを開いて設定 できる  [Edit] – [Preference] – [Protocols] で[IPv4] (または[IPv6]) の [Validate the IPv4 checksum if possible] を無効にする sequence number の不一致、Window サ イズの問題、fast retransmission など 再送、重複ACK、特異なTTL 、アプリ ケーション レベルのエラーなど  リクエスト/ レスポンスごとに分類 分析情報のあるすべてのパケットを表示 対話(Conversations) 統計機能 終端(Endpoint) 統計機能 Top N 分析/ パレート分析に 利用できる  [Statistics] – [Conversations] 送信元/宛先MAC アドレスの組み合わせ ごとの情報を表示 送信元/宛先IP アドレスの組み合わせごと に情報を表示 送信元IP ・PORT / 宛先IP ・PROT の組み 合わせごとに情報を表示 特定のプロトコルだけのリストを作成