misp/misp-wiresharkWiresharkからデータを抽出し、MISP形式に変換するLuaプラグイン
misp-wireshark は、アナリストがWiresharkからデータを抽出し、MISP Core形式に変換するのを支援するLuaプラグインです。
Tools に移動し、MISP: Export to MISP format をクリックします。
Main filter: このフィールドに入力して、エクスポートするデータをフィルタリングします。基本的には、インターフェースのグローバルフィルターからのコピー＆ペーストです。（これの理由により自動ではできません）Include HTTP payload: HTTP経由で送信されたペイロードを出力にファイルとして含めるかどうかExport path: Save to file をクリックしたときにエクスポートファイルを保存する場所Tags: オプションのタグを一部のMISP属性に付与できます。
コマンドラインオプションは、ユーザーインターフェースと同じパラメーターです：
filters: 適用するフィルター式include_payload: 潜在的なペイロードもエクスポートするかどうか。y または n を受け付けます。export_path: JSONを保存するフォルダー。指定しない場合、デフォルトはstdout。tags: 一部のMISP属性に付与するオプションのタグ例
tshark \
-r ~/Downloads/capture.cap \
-X lua_script:/home/john/.local/lib/wireshark/plugins/misp-wireshark/misp-wireshark.lua \
-X lua_script1:filters="ip.addr == 127.0.0.1" \
-X lua_script1:include_payload=n \
-X lua_script1:tags="tlp1,tlp2" \
frame.number == 0
注: エクスポートパスを指定しなかったため、結果はstdoutに出力されます。ただし、プラグインの出力とtsharkの出力が混ざらないように、tsharkにすべてのパケットをフィルタリングするフィルターを提供します。ただし、このフィルターはプラグインによって使用されません。プラグインでは、-X lua_script1:filters で提供されたフィルターのみが使用されます。
上記の例では、frame.number == 0 はtsharkの出力を防ぐためだけに使用され、ip.addr == 127.0.0.1 が実際にプラグインによって使用されます。
Linuxでは、wiresharkのプラグイン配置フォルダにリポジトリをクローンします。
mkdir -p ~/.local/lib/wireshark/plugins
cd ~/.local/lib/wireshark/plugins
git clone https://github.com/MISP/misp-wireshark
cd misp-wireshark/
git submodule update --init --recursive
git pull
git submodule update
community-id についての注意⚠️ このプラグインが community-id を使用するには、wiresharkがバージョン3.3.1以上である必要があります。
デフォルトでは、community-id は無効です。有効にするには、次の手順を実行する必要があります：
Analyze/Enabled Protocols... に移動します。CommunityID を検索します。network-connectionhttp-request（HTTPペイロードを含む）dns-record