PcapXray

ネットワークフォレンジックツール — PCAPファイルまたはライブトラフィックを、デバイス識別、プロトコル分類、Tor検出、悪意のあるトラフィックフラグ付きの注釈付きネットワーク図として可視化します。

モジュール概要

graph TD
    UI[user_interface.py\nGUI controller] --> PR[pcap_reader\nFile + Live capture]
    PR --> ENG[engines/\nauto · dpkt · scapy · pyshark]
    PR --> MEM[(memory.py\nShared state)]
    MEM --> CDF[communication_details_fetch\nDNS · whois]
    MEM --> DDF[device_details_fetch\nOUI vendor lookup]
    MEM --> TTH[tor_traffic_handle\nTor consensus]
    MEM --> MTI[malicious_traffic_identifier\nHeuristic flags]
    MEM --> SS[sqlite_store\nSession persistence]
    MEM --> PLN[plot_lan_network\nGraphviz PNG + pyvis HTML]
    UI --> IG[interactive_gui\nMatplotlib panel]
    IG --> MEM
    PLN --> OUT[Reports + Diagrams]

設計仕様

目的

PCAPファイルまたはライブネットワークインターフェースを入力として、ホスト、トラフィックフロー、重要/Tor/悪意のある通信、および各セッションに関与するデータを表示するネットワーク図を描画します。

問題点

• PCAPファイルの調査は、調査を開始するまでの初期段階で時間がかかる
• すべてのフォレンジック調査担当者およびネットワークトラフィックを分析するすべての人が直面する問題

解決策：調査プロセスの高速化

以下の機能を備えたネットワーク図を作成します：

ツールのハイライト：

• ネットワーク図 — ネットワーク全体の要約図
• サーバー詳細を含むWebトラフィック
• Torトラフィック検出
• 可能性のある悪意のあるトラフィックのフラグ付け
• パケットから取得したレポートデータ — デバイス/トラフィック/ペイロード
• デバイス詳細 — OUIベンダー、ホスト名解決、whois
• リアルタイムグラフ更新によるライブトラフィックキャプチャ
• インタラクティブグラフ — ブラウザ内探索のためのpyvis HTML
• セッション永続化 — 再分析なしでリロードするためのSQLiteキャッシュ

スクリーンショット

メインアプリケーションパネル

静的ネットワークグラフ — 自然なレイアウトと自動フィットズーム

デモ

セットアップ

要件：Python 3.10以上

Linux（Ubuntu/Debian）

sudo apt-get update
sudo apt-get install -y python3-tk graphviz tshark
pip3 install -r requirements.txt
sudo python3 Source/main.py

特定のPythonバージョン（3.11、3.12）を使用する場合は、python3-tkをpython3.11-tkまたはpython3.12-tkに置き換えてください。Pillowはpip経由でのみインストールしてください。aptからpython3-pilをインストールしないでください（競合するため）。

macOS

brew install graphviz
pip3 install -r requirements.txt
sudo python3 Source/main.py

ライブキャプチャにはsudoが必要です。ファイル分析は不要です。

使い方

ファイル分析

1. .pcap / .pcapngファイルを入力するか参照で選択
2. 出力ディレクトリを選択
3. エンジンを選択（デフォルト：auto）
4. **Analyze！**をクリック
5. **Visualize！**をクリックしてネットワーク図を生成
6. Interactive Graphをクリックしてpyvis HTMLをブラウザで開く
7. Graph Panelをクリックしてmatplotlibインタラクティブビューを開く

ライブキャプチャ

1. ドロップダウンからネットワークインターフェースを選択
2. ▶ Start Liveをクリック（sudo / root権限が必要）
3. グラフパネルが開き、4秒ごとに更新
4. ⏹ Stopをクリックしてキャプチャ終了 — キャプチャ後に隠れチャネル検出を実行
5. **Visualize！**をクリックして時点固定の静的スナップショットを生成

PCAPエンジン

PcapXrayは、ツールバーから選択可能な4つの交換可能なパースバックエンドをサポートしています：

コンポーネント

• ネットワーク図 — graphvizでレンダリングされたLANトポロジ全体のPNG
• デバイス/トラフィックの詳細と分析 — セッションごとのペイロード、TLSレコード、DNSクエリ
• 悪意のあるトラフィック識別 — ポートおよびドメインヒューリスティックに基づくフラグ付け
• Torトラフィック — コンセンサスダウンロードとセッションマッチング
• ライブキャプチャ — AsyncSnifferとリアルタイムmatplotlibグラフ（4秒更新）
• GUI — Tkinterインターフェース（フィルターオプション、ズーム、セッションコントロール付き）

Pythonライブラリ

すべての依存関係はrequirements.txtにあります — pip3 install -r requirements.txtでインストールしてください。 TkinterのみPyPIにありません — システムのパッケージマネージャー（Linuxではpython3-tk、macOSではPythonに同梱）からインストールしてください。

開発とアーキテクチャ

完全なアーキテクチャドキュメント、コールフロー図、モジュール責任、スレッドモデル、および新しいエンジンの追加方法については、DEV.mdを参照してください。

セキュリティ

責任ある開示、セキュリティ体制、既知の制限については、SECURITY.mdを参照してください。

テスト

# 高速スイート — ネットワークコールなし
pytest -m "not network" Test/

# 実DNS + Torを含む完全スイート
pytest Test/

# 分離されたエンジン環境
tox
tox -e all-engines

Python 3.10、3.11、3.12で96以上のテスト。

追加情報

• macOSおよびLinuxでテスト済み
• トラフィックフィルターオプション：すべて、HTTP、HTTPS、Tor、悪意、ICMP、DNS
• DEF CON 27 Demo Labsで発表

既知の制限

• macOS最小化復元 — 最小化後にDockアイコンをクリックしても、既知のTk/Cocoaバグによりウィンドウが復元されない場合があります。回避策として、Cmd+TabまたはDockアイコンを右クリック→「表示」を使用してください。
• 大規模キャプチャ — メモリ使用量はセッション数に比例します。非常に大きなPCAP（1GB以上）では遅くなる可能性があります。大規模ファイルにはdpktエンジンを使用して最適なパフォーマンスを得てください。
• ライブキャプチャ権限 — すべてのプラットフォームでRawソケットアクセスにroot/sudoが必要です。

将来

• より多くのプロトコルサポート（QUIC、HTTP/2、mDNS）
• Web UI / eBPFエンジン
• PacketTotal規模のパフォーマンスを実現するGoへの書き換え

クレジット

• Professor Marc Budofsky
• Kevin Gallagher
• すべてのコントリビューターおよび依存ライブラリの作者
• ロゴ：logomakr.com + inkscape.org
• DEF CON 27 Demo Labsで発表

セキュリティを楽しむために！