2022mieruka.link読者の皆様、こんにちは!管理人の伊集院です。昨今のウクライナ危機で不安な日々を過ごしていらっしゃる方もいらっしゃるのではないでしょうか。本日は、セキュリティを勉強して有事に備えようといったモチベーションで、セキュリティに関連した内容を勉強していきたいと思います。ちなみに、管理人はセキュリティエンジニアとは程遠い存在ですが、少しずつ勉強していきスキルアップしていきたい次第です。セキュリティ問題とパケット解析”を読んでまして、ここで解説しているパケットを実際にntopngに解析されたらこの本で紹介しているWiresharkによる分析作業を簡素化できるのか?といった実験をしてみました。Securityソフトウェアと進化したntopngがどういった場面で活用できるのか?を検証していきたいと思います。適宜ダウンロードしてください。ntopngの起動方法ntopngはインターフェイスを監視するだけではなく、pcapファイルを引数として起動し分析することが可能です。SYNスキャン”で解説しているsynscan.pcapngを参考に、起動例を以下にご紹介します。/var/run/ntopng.pid-iオプションのパラメータとして、解析するpcapファイル。アクセスすればntopngに接続できます。最後の-mは、ローカルホストのスコープを定義しています。192.168.0.0/16内のアドレスがローカルホストという意味です。書籍のsynscan.pcapngは、Nmapを利用した例です。handshakeの知識を使ってSYNスキャンを調査している様子が説明されています。表1の知識を使って、被害者が起動しているサービスを特定するといったことを繰り返し実行するのがSYNスキャンということです。ntopngによるSYNスキャン検知ntopngを起動し、Chrome等のブラウザでntopngにアクセスします。pcapファイルの分析ログインすると図1の赤枠のように、通常インターフェイスが表示されるプルダウンメニューに-iオプションで指定したpcapファイル名が表示されていることが分かります。SYNスキャンが正しく検知されているか、アラートエクスプローラー画面に遷移して確認してみましょう。書籍の通り、172.16.0.8が攻撃者で64.13.134.52が被害者といったところまで検知してくれています。それでは、どうやってntopngはSYNスキャン攻撃者/被害者といった判断をしているのでしょうか?最後にこちらを説明して本記事を終えたいと思います。図2のアクション列のアイコンをクリックし、”設定”を選ぶとCheckと呼ばれるntopngのアラートスクリプトの設定画面にジャンプします。SYNスキャン攻撃者、設定画面は割愛しますがその逆が被害者といった閾値を設定しています。-iオプションで設定したpcapファイルはこの閾値を超過したため図2のアラートを発報したということです。書籍では読者の理解を促進するために、Wiresharkを使って丁寧にSYNスキャンの検出方法を説明していますが、現実はIDS等が検知したらWiresharkで詳細調査といった流れとなります。Securityツールとして活用する姿が少しだけみえてきましたね。本シリーズは定期的に検証、ご紹介していきたいと思います。本記事は、記念すべき第一回の記事でした。ご一読、ありがとうございました。