wireshark-forensics-plugin

Wireshark は最も広く使用されているネットワークトラフィックアナライザです。ライブトラフィック分析とフォレンジック/マルウェアアナリストのためのフォレンジック分析の両方において重要なツールです。Wireshark はプロトコル解析やフィルタリングに非常に強力な機能を提供しますが、ネットワークエンドポイントに関するコンテキスト情報は提供しません。GB 単位の PCAP ファイルをくまなく調べて悪意のあるアクティビティを特定しなければならない標準的なアナリストにとっては、干し草の山から針を探すようなものです。

Wireshark Forensics Toolkit は、クロスプラットフォームの Wireshark プラグインで、ネットワークトラフィックデータと脅威インテリジェンス、アセット分類、脆弱性データを関連付け、ネットワークフォレンジック分析を高速化します。これは、Wireshark のネイティブ検索フィルタ機能を拡張し、これらの追加のコンテキスト属性に基づくフィルタリングを可能にすることで実現します。PCAP ファイルとリアルタイムトラフィックキャプチャの両方で動作します。

このツールキットは以下の機能を提供します。

• MISP などの脅威インテリジェンスプラットフォームからエクスポートされた悪意のある指標 CSV を読み込み、ネットワークトラフィックの各送信元/宛先 IP に関連付けます。
• IP 範囲からアセットタイプへのマッピングに基づくアセット分類情報を読み込み、特定のタイプのアセット（例：「データベースサーバ」、「従業員ノートPC」など）からの受信/送信トラフィックをフィルタリングできるようにします。
• Qualys/Nessus からエクスポートされた脆弱性スキャン情報を読み込み、IP を CVE にマッピングします。
• ネイティブの Wireshark フィルタ機能を拡張し、ネットワークログ内の各送信元または宛先 IP アドレスに対して、深刻度、ソース、アセットタイプ、CVE 情報に基づくフィルタリングを可能にします。

使用方法

1. ソース Zip ファイルをダウンロードするか、コードをチェックアウトします。
2. フォルダ data/formatted_reports には 3 つのファイルがあります。
   • asset_tags.csv : アセットの IP/ドメイン/CIDR と関連タグに関する情報。デフォルトのファイルには、イントラネット IP と DNS サーバの例がいくつか含まれています。
   • asset_vulnerabilities.csv : 各アセットの CVE ID とトップ CVSS スコア値の詳細。
   • indicators.csv : タイプ、値、深刻度、脅威タイプの属性を持つ IOC データ。
3. ステップ (2) で言及した 3 つのファイルはすべて手動で編集することも、エクスポートされた MISP および Tenable Nessus スキャンレポートを使用して脆弱性ファイルと指標ファイルを生成することもできます。エクスポートされたファイルは、次のフォルダに指定された正確な名前で配置する必要があります。
   • data/raw_reports/misp.csv : このファイルは MISP の次の場所からエクスポートできます。Export->CSV_Sig->Generate を選択し、Download をクリックします。

• data/raw_reports/nessus.csv : このファイルは Tenable Nessus インターフェースからエクスポートできます。Scans->Scan Results->最新のフルスキャンエントリを選択します。ドロップダウンから Vulnerability Detail List を選択します。