misp-wireshark

misp-wireshark は、アナリストがWiresharkからデータを抽出し、MISP Core形式に変換するのを支援するLuaプラグインです。

使い方

Wireshark

1. Wiresharkの上部バーの Tools に移動し、MISP: Export to MISP format をクリックします。
2. エクスポートオプションを入力して、エクスポーターの動作を設定します。
   • 
   • Main filter: このフィールドに入力して、エクスポートするデータをフィルタリングします。基本的には、インターフェースのグローバルフィルターからのコピー＆ペーストです。（これの理由により自動ではできません）
   • Include HTTP payload: HTTP経由で送信されたペイロードを出力にファイルとして含めるかどうか
   • Export path: Save to file をクリックしたときにエクスポートファイルを保存する場所
   • Tags: オプションのタグを一部のMISP属性に付与できます。
3. MISPにインポートするデータをコピーするかファイルに保存します。
   • 
4. MISPにインポートします。
   • 

Tshark

コマンドラインオプションは、ユーザーインターフェースと同じパラメーターです：

• filters: 適用するフィルター式
• include_payload: 潜在的なペイロードもエクスポートするかどうか。y または n を受け付けます。
• export_path: JSONを保存するフォルダー。指定しない場合、デフォルトはstdout。
• tags: 一部のMISP属性に付与するオプションのタグ

例

tshark \
    -r ~/Downloads/capture.cap \
    -X lua_script:/home/john/.local/lib/wireshark/plugins/misp-wireshark/misp-wireshark.lua \
    -X lua_script1:filters="ip.addr == 127.0.0.1" \
    -X lua_script1:include_payload=n \
    -X lua_script1:tags="tlp1,tlp2" \
    frame.number == 0

注: エクスポートパスを指定しなかったため、結果はstdoutに出力されます。ただし、プラグインの出力とtsharkの出力が混ざらないように、tsharkにすべてのパケットをフィルタリングするフィルターを提供します。ただし、このフィルターはプラグインによって使用されません。プラグインでは、-X lua_script1:filters で提供されたフィルターのみが使用されます。

上記の例では、frame.number == 0 はtsharkの出力を防ぐためだけに使用され、ip.addr == 127.0.0.1 が実際にプラグインによって使用されます。

インストール

Linuxでは、wiresharkのプラグイン配置フォルダにリポジトリをクローンします。

mkdir -p ~/.local/lib/wireshark/plugins
cd ~/.local/lib/wireshark/plugins
git clone https://github.com/MISP/misp-wireshark 
cd misp-wireshark/
git submodule update --init --recursive

アップデート

git pull
git submodule update

community-id についての注意

⚠️ このプラグインが community-id を使用するには、wiresharkがバージョン3.3.1以上である必要があります。

デフォルトでは、community-id は無効です。有効にするには、次の手順を実行する必要があります：

1. 上部バーで Analyze/Enabled Protocols... に移動します。
2. リスト内で CommunityID を検索します。
3. チェックボックスをオンにします。

MISPオブジェクト形式でサポートされているエクスポート

• tcpからの network-connection
• tcp.httpからの http-request（HTTPペイロードを含む）
• udp.dnsからの dns-record