NetScope

Windows向けオフラインファーストのネットワーク調査・対応プラットフォーム。

NetScopeは、セキュリティアナリスト、インシデントレスポンダー、CTFプレイヤーのための デスクトップアプリケーションです。パケットキャプチャ(.pcap / .pcapng)または ライブインターフェースを取り込み、完全な証拠に基づく調査結果 — 判定、攻撃ストーリー、 侵害指標(IoC)、抽出した戦利品(loot)、ワンクリック対応アクション — に変換します。 クラウドサービスも有料APIも使わず、すべてお使いのマシン上で完結します。

NetScopeを選ぶ理由

Wireshark、Suricata、そしていくつかのスクリプトを使えば、このほとんどを手動で 実現できます。NetScopeの役割は、その相関付けを、マシンの外に何も送信することなく、 一度のパスで自動的に行うことです:

• 15個のタブではなく、1つの判定。 NetScopeは、プロトコル解析、IOCマッチング、 異常検知を単一の攻撃ストーリーに相関付けます。tsharkの出力、Suricataの アラート、IOCフィードを手動で相互参照する必要はありません。
• クラウドゼロ、APIキーゼロ。 VirusTotalのキーも、クラウドへのアップロードも不要で、 何もマシンの外に出ません — これはライブインシデントやクライアントの キャプチャを扱う際に重要です。
• 「無料枠」ではなく、完全無料。 有料バックエンドも、利用制限も、ライセンスもありません。
• 分析だけでなく対応も。 ファイアウォールルール、プロセス終了、メモリキャプチャが 組み込まれています — ほとんどの無料アナライザーは「何が起こったか」で 止まりますが、NetScopeはそれに対する行動も支援します。

スクリーンショット

ライブ判定バナー付きのストリーム再構築 — キャプチャから再構成されたFTPセッション、 露出した平文認証情報、tshark + Suricataのエンリッチメントが自動的に重ねられます:

Lootタブ — キャプチャから抽出された認証情報、ハッシュ、キー、トークン。 それぞれワンクリックでコピーできます:

ダウンロード

ビルド済みのWindowsバイナリは各リリースに添付されています:

→ 最新リリースをダウンロード

完全なインストールと実行手順 — ソースからの実行を含む — は INSTALL.md にあります。

NetScopeは起動時に管理者権限を要求します。昇格は対応アクション(ホストファイアウォールルール、プロセス終了、メモリキャプチャ)に必要です。 起動時にWindowsのUACプロンプトが1回表示されます。

機能

NetScopeには、同じ分析エンジンに接続する2つのエントリポイントがあります:

• オフラインPCAP分析 — キャプチャを開いて完全なフォレンジック分析結果を取得します。
• ライブモニタリング — ローカルインターフェースから(dumpcap経由で)キャプチャし、 同じ方法で分析します。ライブARP監視とDNS防御を備えています。

すべてローカルで実行されます。パーサーとアナライザーは純粋なTypeScriptであり、 外部ツールを必要としません。tshark、Suricata、Zeek、yara などの フリーツールがインストールされている場合は、NetScopeがそれらの検出結果を 自動的に重ねて表示します。

調査領域

• 概要(Overview) — コマンドセンター形式の判定、主要メトリクス、再構成された攻撃ストーリー、主要な証拠、推奨される次のステップ。
• 脅威と検出 — 重大度、MITRE ATT&CKテクニックのマッピング、攻撃チェーンシグネチャエンジン(CVEエクスプロイト、リバースシェル、攻撃用ツール)を備えた相関付けされた検出結果。
• プロトコルフォレンジック — HTTP(ユーザーエージェント、Log4j)、DNS(トランザクション分析、自動デコードによるトンネリング・データ持ち出しの再構築)、TLS(オフラインのマルウェアファミリデータベースに対するJA3/JA4フィンガープリンティング)、SMB、FTP、SMTP/MIME、DHCP、NBNS、Kerberos、ICMP、ARP。
• ホスト — DHCP / NBNS / Kerberosから構築されたインベントリ。OSフィンガープリンティング付き。
• 戦利品(Loot) — 抽出された認証情報、NTLM / NetNTLMv2ハッシュ(hashcat対応)、フラグ、APIキー、JWT。クラッキングのヒント付き。
• 異常検知 — ビーコン通信、高エントロピーチャネル、トラフィック非対称性、 珍しいユーザーエージェント、弱い暗号をランク付けして表示します。
• 時間分析 — リズムフィンガープリンティング、プロトコル横断のセッション統合、 TCPタイムスタンプのクロックスキュー(NAT / マルチホスト検出)、OSフィンガープリントのずれ。
• インテル — 無料のオフラインフィード(abuse.ch、FireHOL、Tor)からの既知の悪性指標。
• 地理 / 持ち出し(Geo / Exfil) — オフラインGeoIPによる国別内訳とエンドポイントの世界地図。
• プロトコルピボット — ポートとサービスの内訳付きのプロトコル階層ツリー。
• ワークベンチ — 任意のアーティファクトを対象とした変換 / デコード / スクリプト実行ベンチ。 難読化解除ツールとPEパーサーを内蔵。
• ストリーム再構築 — TCP/UDPフォローストリーム、ファイルカービングと抽出、 ZIPおよびマルチパートの再構築。
• 比較 — キャプチャを保存済みのベースラインと差分比較します。

対応

• ホストファイアウォールルールの作成、プロセス終了、メモリキャプチャ(昇格権限)。
• STIX 2.1 / CSV / Sigma形式の指標(IoC)エクスポート。
• MarkdownおよびHTML形式のインシデントレポート生成。
• ローカルケース管理: ノート、タグ、ブックマーク、ステータスをディスクに保存。

インストールと実行

完全なガイドは INSTALL.md を参照してください。簡単な手順:

アプリを使う: リリースページから インストーラーまたはポータブルビルドをダウンロードして実行します。

ソースから実行:

npm install
npm run dev

自分でWindowsバイナリをビルド:

npm run build:win

生成物は release/ に出力されます。

クイックスタート

1. NetScopeを開き、.pcap / .pcapng ファイルをドロップするか、キャプチャ元の ライブインターフェースを選択します。
2. NetScopeがキャプチャを解析し、概要(Overview) タブに判定 — 重大度、再構成された攻撃ストーリー、主要な証拠を表示します。
3. 脅威と検出、プロトコルフォレンジック、または戦利品(Loot) を掘り下げて、 その判定の背後にある詳細を確認します。

(このフローの短いスクリーンレコーディングはここに追加される予定です。)

アーキテクチャ

NetScopeは、厳密なプロセス境界を持つElectronアプリケーションです。

src/
  main/       Electron main process — analysis engine, services, IPC handlers
    services/pcap/   pure-TS PCAP parser, decoders, analyzers, worker thread
  preload/    context-isolated bridge (window.netscope) — no Node in the renderer
  renderer/   React 19 UI (Vite)
  shared/     IPC contract and data model shared by main and renderer

• レンダラーではコンテキスト分離が有効で、Node統合は無効です。すべての特権処理は メインプロセスで行われ、型付けされたIPCコントラクト(src/shared/ipc.ts)を 通じてアクセスされます。
• PCAP解析はワーカースレッドで実行され、ファイルサイズに応じて動的に パケットバジェットが調整されるため、大規模なキャプチャでもUIや相関エンジンが ブロックされません。
• 実行時のネットワーク呼び出しはありません。 脅威インテル、GeoIP、JA3データベースは 無料ソースからローカルにキャッシュされ、分析は完全にオフラインで動作します。

完全な技術文書は docs/FULL_REPORT.md にあります。

オプションの外部ツール

NetScopeはこれらなしでも動作しますが、インストールされている場合はそれらを使用します:

• tshark / dumpcap (Wireshark) — より深い解析とライブキャプチャ。
• Suricata — シグネチャレベルのIDS検出。
• Zeek — プロトコルログとアプリ層のアーティファクト。
• yara — カービングされたファイルとストリームに対するマルウェアパターンマッチング。
• procdump — 対応時のメモリキャプチャ。

すべて無料のオープンソースソフトウェアです。アプリ内のセットアップ画面でインストール済みのツールが検出されます。

大規模なキャプチャの取り扱い

アプリ内パーサーはファイル全体をメモリにロードするため、実用的な上限があります。 約500 MBまでのファイルは快適に分析できます。500 MB〜1.7 GBは動作しますが メモリを多く消費します。1.7 GBを超える場合、NetScopeは明確に拒否し、editcapでの分割か、 外部での tshark / Zeek の実行を推奨します。大きなファイルはパケット数が 上限に達し、部分的であることが明確にフラグ付けされます。

このプロジェクトを支援する

NetScopeは無料のMITライセンスであり、空き時間以外の資金提供はありません。 調査の時間を節約できたなら、開発へのスポンサーを ご検討ください — 新しいプロトコルパーサーや検出機能に投じられる時間に 直接資金が使われます。

ライセンス

MITライセンスの下で公開されています。