JA4+™ ネットワークフィンガープリンティング

JA4+は、FoxIOによるネットワークフィンガープリンティング手法のスイートであり、使いやすく共有しやすいものです。これらの手法は人間にも機械にも読みやすい形式で、より効果的な脅威ハンティングと分析を促進します。これらのフィンガープリントのユースケースには、脅威アクターのスキャン、マルウェア検出、セッションハイジャック防止、コンプライアンス自動化、位置情報追跡、DDoS検出、脅威アクターのグループ化、リバースシェル検出など、多数あります。

JA4+の簡単な説明と分析時のリファレンスとして、以下を参照してください：
JA4+ チートシート

詳細については、JA4+の仕組み、なぜ機能するのか、およびそれで検出/防止できることの例についてのブログをお読みください：
JA4+ ネットワークフィンガープリンティング (JA4/S/H/L/X/SSH)
JA4T: TCPフィンガープリンティング (JA4T/TS/TScan)
SurfsharkとNordVPNをJA4Tで調査 (JA4T)

JA4+が気に入ったら、Tシャツやパーカーを手に入れることを検討してください：
JA4+ シャツ、パーカー、ステッカー

目次

• 現在の手法と実装の詳細
• 実装
• JA4+をサポートするツール
• 例
• プラグイン
• バイナリ
  • リリースアセット
  • tsharkのインストール
    • Linux
    • macOS
    • Windows
  • JA4+の実行
• データベース
• リリースプロセス
  • リリースの作成方法
• JA4+の詳細
• ライセンス
• Q&A
• JA4+の作成者

現在の手法と実装の詳細

フルネームとショートネームはどちらでも使用できます。追加のJA4+手法も準備中です...

JA4+フィンガープリントの読み方については、技術詳細をご覧ください。

実装

このリポジトリには、次の言語/環境でのJA4+が含まれています：

• Python
• Rust
• WiresharkプラグインとしてのC言語。
• Zeek

JA4+をサポートするツール

さらに近日発表予定...

例

その他の例については、ja4plus-mapping.csvをご覧ください
完全なデータベースについては、ja4db.comをご覧ください

プラグイン

Wireshark
Zeek
Arkime

バイナリ

JA4バイナリは、スイートのRust実装からビルドされています。全機能を利用するには、tshark（バージョン4.0.6以降）が必要です。リリースページから最新のJA4バイナリをダウンロードしてください。Rust実装のリリースバージョンはセマンティックバージョニングに従い、vX.Y.Zとしてマークされます（Wiresharkプラグインのリリースとは異なります）。

リリースアセット

リリースアセットは、コンポーネントとプラットフォームに応じて命名されます：

• Rust:
  • ja4-vX.Y.Z-<architecture>-<platform>.tar.gz（例：ja4-v0.18.5-x86_64-unknown-linux-musl.tar.gz）
• Python:
  • ja4-python-vX.Y.Z.tar.gz（python/ディレクトリ全体を含む）
• Wireshark:
  • ja4.so.linux, ja4.so.macos, ja4.dll（wireshark-vX.Y.Zのような名前のリリースに添付）

システムとコンポーネントに適したファイルを選択してください。

tsharkのインストール

Linux

パッケージマネージャーを使用してインストールします（パッケージ名はtsharkまたはwireshark-cliで、ディストリビューションによって異なります）。例えばUbuntuの場合：

sudo apt install tshark

macOS

1. ダウンロードしてWiresharkをインストールします（tsharkを含む）。
2. tsharkをPATHに追加します：
   root@kitploit:~

   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark
   

Windows

1. ダウンロードしてWiresharkをインストールします（tshark.exeを含む）。
2. tshark.exeの場所を確認します（通常はC:\Program Files\Wireshark\tshark.exe）。
3. tshark.exeを含むフォルダをシステムのPATHに追加します：
   • システムのプロパティ > 環境変数 > Pathを編集を開きます。

JA4+の実行

tsharkとJA4+バイナリが利用可能になったら、次のコマンドでJA4+を実行します：

• LinuxおよびmacOSの場合：
  root@kitploit:~

  ./ja4 [オプション] [pcap]
  

• Windowsの場合、コマンドプロンプトを開いて実行：
  root@kitploit:~

  ja4 [オプション] [pcap]
  

JA4+の実行と高度な設定の詳細については、Rust実装のREADMEを参照してください。機能、使用シナリオ、カスタマイズオプションに関する情報が提供されています。

データベース

公式のJA4+フィンガープリント、関連するアプリケーション、推奨される検出ロジックのデータベースはこちら： ja4db.com
このデータベースは非常に活発に開発中です。今後数ヶ月で、桁違いに多くのフィンガープリントの組み合わせとデータが追加される予定です。

サンプルのja4plus-mapping.csvもクイックリファレンスとして利用できます。

リリースプロセス

JA4+はGitHub Actionsを使用して、Rust、Python、Wireshark、Zeekの各コンポーネントのリリースを自動化しています。リリースは、特定のプレフィックスを持つタグをリポジトリにプッシュすることで作成されます（Zeekを除く。Zeekは純粋なセマンティックバージョン（semver）タグを使用します）。リリースアセットの命名は次の通りです：

• Rust: ja4-vX.Y.Z-<architecture>-<platform>.tar.gz
• Python: ja4-python-vX.Y.Z.tar.gz
• Wireshark: ja4.so.linux, ja4.so.macos, ja4.dll（wireshark-vX.Y.Zのような名前のリリース内）

以下のワークフローが利用可能です：

• Rustリリース：
  rust-で始まるタグ（例：rust-v0.18.5）をプッシュすると、Rustバイナリのリリースがトリガーされます。ワークフローが自動的にアセットをビルドしてアップロードします。

• Pythonリリース：
  python-で始まるタグ（例：python-v0.1.0）をプッシュすると、Python実装のリリースがトリガーされます。ワークフローがpython/ディレクトリのtarballを作成し、リリースアセットとして公開します。

• Wiresharkプラグインリリース：
  wireshark-で始まるタグ（例：wireshark-v0.1.1）をプッシュすると、サポートされているすべてのプラットフォーム向けのWiresharkプラグインバイナリのリリースがトリガーされます。

• Zeekリリース：
  プレフィックスなしの純粋なセマンティックバージョンタグ（例：v1.2.3）をプッシュすると、Zeekリリースがトリガーされます。これにより、packages.zeek.orgに自動的にリリースが作成されます。

リリースの作成方法

1. 変更がmainブランチにマージされていることを確認します。

2. リリースしたいコンポーネント用のタグを作成してプッシュします：

   • Rust、Python、またはWiresharkの場合は、適切なプレフィックスを使用します（例：rust-v0.18.5、python-v0.1.0、wireshark-v0.1.1）。
   • Zeekの場合は、純粋なsemverタグを使用します（例：v1.2.3）。

   例：

   root@kitploit:~

   git tag v1.2.3
   git push origin v1.2.3
   

   （Zeekの場合）

   または、Rustの場合：

   root@kitploit:~

   git tag rust-v0.18.5
   git push origin rust-v0.18.5
   

3. 対応するGitHub Actionsワークフローが実行され、リリースアセットが自動的に公開されます。Zeekの場合、リリースはpackages.zeek.orgに表示されます。

JA4+の詳細

JA4+は、複数のプロトコルに対応したシンプルかつ強力なネットワークフィンガープリントのセットで、人間にも機械にも読みやすく、脅威ハンティングとセキュリティ分析の向上を促進します。ネットワークフィンガープリンティングに馴染みがない方は、JA3を公開した私のブログ（こちら）、JARMのブログ（こちら）、およびFastlyによるTLSフィンガープリンティングの現状に関する優れたブログ（上記の歴史と問題点を概説）を読むことをお勧めします。JA4+は専用のサポートを提供し、業界の変化に合わせて手法を最新の状態に保ちます。

すべてのJA4+フィンガープリントはa_b_c形式を持ち、フィンガープリントを構成する異なるセクションを区切ります。これにより、abのみ、acのみ、cのみを使用したハンティングと検出が可能になります。アプリに流入するクッキーだけを分析したい場合は、JA4H_cのみを見ることになります。この新しい局所性を保持する形式は、シンプルさと使いやすさを維持しながら、より深く豊かな分析を促進し、拡張性を可能にします。

例えば、GreyNoiseはインターネットスキャナを識別するインターネットリスナーであり、JA4+を製品に実装しています。彼らは、常に変化する単一のTLS暗号スイートでインターネットをスキャンするアクターを抱えています。これにより、まったく異なるJA3フィンガープリントが大量に生成されますが、JA4では、JA4フィンガープリントのb部分のみが変化し、aとcの部分は同じままです。そのため、GreyNoiseはJA4_acフィンガープリント（a+cを結合し、bを削除）を調べることでアクターを追跡できます。

JA4+メソッドとその説明の一覧については、現在の手法と実装の詳細を参照してください。

JA4+フィンガープリントの読み方については、技術詳細をご覧ください。

ライセンス

JA4: TLSクライアントフィンガープリンティングは、JA3と同様にオープンソース、BSD 3-Clauseです。FoxIOは特許請求を行っておらず、JA4 TLSクライアントフィンガープリンティングに関して特許の取得を計画していません。これにより、現在JA3を利用している企業やツールは、遅滞なくJA4にアップグレードできます。

JA4S、JA4L、JA4LS、JA4H、JA4X、JA4SSH、JA4T、JA4TS、JA4TScanおよび将来のすべての追加機能（総称してJA4+と呼びます） は、FoxIO License 1.1の下でライセンスされています。このライセンスは、学術目的や内部業務目的を含むほとんどのユースケースで許容されますが、収益化には許容されません。例えば、企業が自社のセキュリティ強化のためにJA4+を内部で使用することは許可されます。例えば、ベンダーが自社の製品提供の一部としてJA4+フィンガープリンティングを販売したい場合、当社からOEMライセンスをリクエストする必要があります。

すべてのJA4+メソッドは特許出願中です。
JA4+はFoxIOの商標です。

JA4+はオープンソースツールに実装可能であり、実際に実装されています。詳細についてはライセンスFAQをご覧ください。

このライセンスにより、JA4+をオープンかつ即座に利用可能な形で世界に提供できると同時に、継続的なサポート、新しいメソッドの研究、JA4+データベースの開発のための資金調達手段も確保できます。私たちは、誰もがJA4+を活用できるようにしたいと考えており、ベンダーやオープンソースプロジェクトと協力してそれを実現できることを喜んでいます。

Q&A

Q: なぜ暗号スイートをソートしているのですか？順序は重要ではないのですか？ A: 重要ですが、私たちの調査では、アプリケーションやライブラリは、一意の順序よりも一意の暗号スイートリストを選択することが多いことがわかりました。これにより、「暗号スタンティング」（JA3検出を防ぐために暗号の順序をランダム化する戦術）の効果も低下します。

Q: なぜ拡張機能をソートしているのですか？ A: 2023年初頭、GoogleはChromiumブラウザをアップデートし、拡張機能の順序をランダム化しました。暗号スタンティングと同様に、これはJA3検出を防ぎ、「TLSエコシステムを変更に対してより堅牢にする」ための戦術でした。Googleは、サーバー実装者がChromeのフィンガープリントが決して変わらないと想定し、それに基づいてロジックを構築してしまうことを懸念しており、そうなるとGoogleがChromeをアップデートするたびに問題が発生する可能性がありました。

したがって、明確にしておきたいのは、JA4フィンガープリントはアプリケーションのTLSライブラリがアップデートされるにつれて変化するということです（約年に1回）。アプリケーションがアップデートされる環境では、フィンガープリントが一定であると想定しないでください。いずれにせよ、拡張機能をソートすることでこの問題を回避し、署名アルゴリズムを追加することで一意性を維持しています。

Q: TLS 1.3はTLSクライアントのフィンガープリンティングを難しくしませんか？ A: いいえ、むしろ簡単になります！TLS 1.3以降、クライアントははるかに多くの拡張機能を持つようになり、TLS 1.3がサポートする暗号スイートは少数ですが、ブラウザやアプリケーションは依然としてさらに多くの暗号スイートをサポートしています。

JA4+の作成者

John Althouse

以下の方々からのフィードバック：

Josh Atkins
Jeff Atkinson
Joshua Alexander
W.
Joe Martin
Ben Higgins
Andrew Morris
Chris Ueland
Ben Schofield
Matthias Vallentin
Valeriy Vorotyntsev
Timothy Noel
Gary Lipsky

Michael Barbine

そして、GreyNoise、Hunt、Google、ExtraHop、F5、Driftnetなどの企業で働くエンジニアの方々。

ライセンスや質問については、[email protected] までJohn Althouseにご連絡ください。

_{JA4およびJA4+はFoxIO, Inc.の商標です。
Copyright (c) 2025, FoxIO}