Wireshark入門 — パケットの読み方と安全な通信調査

Wiresharkとは：取得した通信を読む道具

Wiresharkは、パケットを表示・解析するツールです。取得したファイルを読む機能と、インターフェースから新たに取得する機能を区別します。初心者は、秘密情報や実在する第三者の通信を含まない合成資料から始めてください。

通信調査では、誰の通信を、何の目的で、どの期間・範囲まで取得してよいかを先に合意します。本記事は認証情報を抜き出す実習や、脆弱なサーバーへ接続する手順ではありません。実務の取得・解析は組織の承認済み手順を使います。

• 範囲

  承認者、対象、時刻、期間、除外データ、中止条件を決める。

• 観測

  送受信、プロトコル、応答、再送を時刻と条件付きで読む。

• 報告

  観測と推測を分け、機密を除いた結果と追加確認を残す。

取得・閲覧前のチェックリスト

• 取得対象の所有者と業務責任者の許可、調査目的を確認する。
• 対象のインターフェース、期間、時計・タイムゾーン、業務影響を整理する。
• 個人情報、Cookie、認証情報、業務データが含まれ得ることを理解する。
• 保存先、閲覧権限、共有方法、保存期間、削除の承認を決める。
• 使用するWiresharkの版を確認し、公式案内に従って更新する。
• 未知の取得ファイルを無条件に安全と考えず、組織の解析環境で扱う。

第三者のWeb解析サービスへのアップロードは、新たな外部共有です。機密を含む取得ファイルを許可なくアップロードしません。

3つの表示領域をどう読むか

公式ユーザーガイドに沿って、一覧・詳細・バイト表示の役割を区別します。

領域	見ること	注意点
パケット一覧	時刻、送信元、宛先、プロトコル、長さ、概要	表示名は解析結果。取得範囲外の通信は見えない
パケット詳細	各層のヘッダー、応答、フラグ等	展開できる情報はプロトコル・取得条件で異なる
バイト表示	取得されたデータの位置や内容	秘密情報が見えることがある。画面共有にも注意

キャプチャフィルターは取得対象を限定し、表示フィルターは取得後に見る範囲を変えます。表示フィルターで非表示にしても、元のファイルからそのデータが消えたわけではありません。

合成データから観測と推測を分ける

以下は説明用の要約で、実環境から取得したログでも、読み込むためのpcapファイルでもありません。アドレスは文書用のTEST-NETです。

相対時刻	送信元 → 宛先	観測の要約
0.00秒	192.0.2.10 → 198.51.100.20	TCP接続開始のパケット
0.03秒	198.51.100.20 → 192.0.2.10	接続開始への応答
0.04秒	192.0.2.10 → 198.51.100.20	確認応答
0.06秒	192.0.2.10 → 198.51.100.20	TLSハンドシェイクの開始
0.09秒	198.51.100.20 → 192.0.2.10	TLSの応答

この資料から読めるのは、観測した範囲で接続開始とTLSのやり取りがあったことです。通信先が安全、利用者が正規、認証に成功した、とまでは断定できません。

TCP・DNS・TLSで確認する観点

• TCP：接続開始、応答、切断、再送の時刻を確認する。再送は混雑・損失・取得条件でも起こり、侵害の証明ではない。
• DNS：質問と応答、解決先、時刻を確認する。キャッシュや暗号化DNSにより取得点で見えない場合がある。
• TLS：観測できるハンドシェイク情報と暗号化された内容を区別する。通信先の正当性は別に確認する。
• 統計：会話・プロトコル・転送量の集計を、取得期間と欠落の可能性付きで読む。

証明書の秘密鍵を持っているだけで、現在のTLS通信を必ず復号できるわけではありません。復号に関する資料や鍵・セッション情報は機密として扱い、承認されていない取得をしません。

調査結果の報告・エスカレーション

不審な通信を見つけたら、対象資産、時刻、観測した通信、取得範囲、関連する端末・アプリのログを担当へ渡します。通信先やデータ量だけで悪性と断定せず、資産の役割と業務の説明も確認します。

記録は「目的／承認／取得条件／観測した事実／推測／追加確認／保管先と権限／次の責任者」で整理します。PCAP、Cookie、認証情報、内部ホスト名を公開の報告へ貼らないでください。保全対象を独断で消したり、通信全体を広く共有したりしません。

次に読む・練習する

安全な演習の準備、ログ解析、不審メールの演習、インシデント対応へ進めます。