wireshark-forensics-plugin

Wireshark는 가장 널리 사용되는 네트워크 트래픽 분석기입니다. 라이브 트래픽 분석과 포렌식/멀웨어 분석가를 위한 포렌식 분석 모두에 중요한 도구입니다. Wireshark가 프로토콜 파싱 및 필터링을 위한 엄청나게 강력한 기능을 제공하지만, 네트워크 엔드포인트에 대한 컨텍스트 정보는 제공하지 않습니다. 악성 활동을 식별하기 위해 GBs 단위의 PCAP 파일을 샅샅이 뒤져야 하는 일반 분석가에게는 건초더미에서 바늘을 찾는 것과 같습니다.

Wireshark Forensics Toolkit은 네트워크 트래픽 데이터와 위협 인텔리전스, 자산 분류 및 취약점 데이터를 연계하여 네트워크 포렌식 분석 속도를 높이는 크로스 플랫폼 Wireshark 플러그인입니다. Wireshark의 기본 검색 필터 기능을 확장하여 이러한 추가 컨텍스트 속성을 기반으로 필터링할 수 있도록 합니다. PCAP 파일과 실시간 트래픽 캡처 모두에서 작동합니다.

이 툴킷은 다음 기능을 제공합니다.

• MISP와 같은 위협 인텔리전스 플랫폼에서 내보낸 악성 지표(Indicators) CSV를 로드하고 네트워크 트래픽의 각 소스/대상 IP와 연결합니다.
• IP 범위를 자산 유형에 매핑하는 자산 분류 정보를 로드하여 특정 유형의 자산(예: '데이터베이스 서버', '직원 노트북' 등)에서 오는 수신/발신 트래픽을 필터링할 수 있습니다.
• Qualys/Nessus에서 내보낸 취약점 스캔 정보를 로드하여 IP를 CVE에 매핑합니다.
• Wireshark의 기본 필터 기능을 확장하여 네트워크 로그의 각 소스 또는 대상 IP 주소에 대해 심각도, 출처, 자산 유형 및 CVE 정보를 기반으로 필터링할 수 있습니다.

사용 방법

1. 소스 Zip 파일을 다운로드하거나 코드를 체크아웃하세요.
2. data/formatted_reports 폴더에는 3개의 파일이 있습니다.

• asset_tags.csv : 자산 IP/도메인/CIDR 및 관련 태그에 대한 정보입니다. 기본 파일에는 인트라넷 IP 및 DNS 서버에 대한 몇 가지 예제가 있습니다.
• asset_vulnerabilities.csv : CVE ID 및 각 자산의 최고 CVSS 점수 값에 대한 세부 정보입니다.
• indicators.csv : 유형, 값, 심각도 및 위협 유형 속성을 가진 IOC 데이터입니다.

3. (2)단계에서 언급된 3개의 파일은 수동으로 편집하거나 내보낸 MISP 및 Tenable Nessus 스캔 보고서를 사용하여 취약점 및 지표 파일을 생성할 수 있습니다. 내보낸 파일은 다음 폴더에 지정된 정확한 이름으로 배치해야 합니다.

• data/raw_reports/misp.csv : 이 파일은 MISP에서 다음 위치에서 내보낼 수 있습니다. Export->CSV_Sig->Generate를 선택한 후 Download

• data/raw_reports/nessus.csv : 이 파일은 Tenable Nessus 인터페이스에서 내보낼 수 있습니다. Scans->Scan Results->최신 전체 스캔 항목을 선택합니다. 드롭다운에서 Vulnerability Detail List를 선택합니다.