パケットキャプチャ（PCAP）とは何ですか？

パケットキャプチャ（PCAP）とは、ネットワークトラフィック（インターフェースを通過するパケットの全内容またはヘッダー）を傍受してファイルに記録し、後で検証できるようにするプロセスです。これは、ネットワークのトラブルシューティング、侵入分析、コンプライアンスフォレンジックの基盤となるもので、アナリストがネットワーク上を実際に通過したデータを正確に再現することを可能にします。

主なポイント

• パケットキャプチャは、トラブルシューティングやフォレンジック分析のために、生のトラフィックを記録します。
• キャプチャには、フルキャプチャ、フィルタリングされたキャプチャ、特定のイベントをトリガーとするキャプチャがあります。
• pcap/pcapng ファイル形式は、事実上の業界標準となっています。
• Versa NGFWおよびIDPは、検知されたセキュリティイベントの発生前後におけるトラフィックをキャプチャします。
• 分析ノードは、ダウンロードやオフラインでの確認のためにキャプチャデータを保存します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ パケットキャプチャとVersa · よくある質問

パケットキャプチャはなぜ重要なのでしょうか？

ほとんどのネットワークおよびセキュリティツールは、トラフィック（フローレコード、脅威アラート、セッションログなど）を要約して表示しますが、その要約には、実際に何が起こったのかを説明する詳細情報が隠れてしまうことがあります。パケットキャプチャは、トラフィックそのものを保存します。つまり、インターフェースを通過するすべてのフレームの正確なヘッダー、ペイロード、およびタイミングが記録されるため、アナリストはそこから導き出された推論を鵜呑みにするのではなく、通信内容をバイト単位で再現することができます。

これは、単に警告を表示するだけでなく、何かを証明する必要がある場合に最も重要になります。侵入検知アラートはシグネチャが一致したことを示しますが、その一致時点周辺のパケットキャプチャを確認することで、それが実際の攻撃の試みだったのか、それとも誤検知だったのか、また攻撃者が実際に何を送信したのかがわかります。 VoIP通話の切断やアプリケーションの応答遅延は、フロー統計だけではある程度までしか診断できません。一方、パケットキャプチャでは、再送信や不正な形式のパケットを直接確認できます。パケットキャプチャはリソースを大量に消費するため、ほとんどの導入環境では、継続的に実行するのではなく、セキュリティイベントや診断ウィンドウをトリガーとして選択的に実行しています。

パケットキャプチャとは何ですか？

パケットキャプチャは、監視対象のインターフェースを通過するパケットを、それらのパケットが実際に転送される仕組みを変更することなくコピーすることで機能します。キャプチャエージェント（libpcap などのソフトウェアライブラリ、ハードウェアタップ、またはネットワークデバイスに組み込まれた機能など）は、インターフェースにフックし、トラフィックをオプションのフィルタと照合して、一致した各パケットの生のバイトデータとタイムスタンプをファイルに書き込みます。

そのデータのための事実上の標準コンテナは、pcapファイル形式とその後継であるpcapngであり、ほとんどの分析ツールはこれらを互換性を持って読み書きできます。キャプチャでは、すべてのパケットのすべてのバイトを記録することもできますが、大規模なケースではより一般的に、ヘッダーのみ、あるいはトリガーとなるイベントの前後にある一定数のパケットのみをキャプチャし、調査に必要な具体的な詳細情報を得るためにストレージ容量を節約します。 一度書き込まれたファイルは移植性が高く、ダウンロードしてWiresharkなどのプロトコルアナライザでオフラインで開くことで、セッションを再構築し、デバイスが送信または受信した内容を正確に診断することができます。

パケットキャプチャの種類

フル（連続）キャプチャは、実行中、インターフェースを通過するすべてのパケットを記録します。完全な忠実度を確保できますが、ディスク容量とCPUリソースを急速に消費するため、通常は短期間の、計画的なトラブルシューティングのみに限定して使用されます。

トリガー型（イベント駆動型）のキャプチャは、侵入検知シグネチャの一致、ポリシールール、異常といった条件がトリガーされた場合にのみ記録を開始し、トリガーの直前および直後の一定期間のパケットをキャプチャします。これは、誰も確認しないトラフィックをキャプチャすることなく、フォレンジック分析に必要な詳細情報を提供できるため、実運用において最も一般的なパターンとなっています。

フィルタリングによるキャプチャでは、送信元アドレスや宛先アドレス、ポート、プロトコル、アプリケーションなどの一致条件を用いて記録対象を絞り込むため、その問題に関連するトラフィックのみがディスクに書き込まれます。

ヘッダーのみのキャプチャとフルペイロードのキャプチャの比較：処理量という観点では、ヘッダーのみでもタイミングや再送信の分析には十分であり、フルペイロードに比べてストレージコストを大幅に抑えることができます。フルペイロードは、コンテンツそのものを調査する必要がある場合にのみ必要となります。

パケットキャプチャ &Versa

Versa NGFW、IDP、およびトラフィック監視ポリシーエンジンの診断機能としてパケットキャプチャを実装しており、「ログエクスポート機能の適用」を通じて設定されます。IDPの場合、脆弱性プロファイルルールにより、設定可能なプレウィンドウおよびポストウィンドウ（攻撃シグネチャに一致したパケットの直前および直後にキャプチャされるパケット）を指定してキャプチャを行うことができます（「侵入検知および防止の設定」を参照）。 NGFWの場合、キャプチャはアクセスポリシールールごとに有効化され、「ログ制御」でデフォルトのパケット制限（20,000、1,000～50,000の範囲で調整可能）とタイムアウト（600秒）が設定されています。トラフィック監視ポリシールールも同様に、選択されたフローのパケットキャプチャデータを送信できます。

いずれの場合も、キャプチャされたパケットは、関連するログエクスポート機能（LEF）プロファイル内のアクティブなコレクターにエクスポートされ、Analyticsノードに送信されます。これは、パケットキャプチャがVOSとAnalyticsの両方でリソースを大量に消費するため、診断目的でのみ推奨されるからです。管理者はAnalyticsのGUIからパケットキャプチャログテーブルを表示し、各エントリをpcap形式（Wiresharkで直接開くことができます）またはプレーンテキスト形式でダウンロードできます。

よくある質問

PCAPとは何の略ですか？

PCAPは「パケットキャプチャ」の略です。この略語は、ほとんどのキャプチャツールが記録したトラフィックを保存するために使用するpcapファイル形式の名称でもあり、したがってこの用語は、その作業自体と、その結果として生成されるファイルの両方を指します。

パケットキャプチャとNetFlowの違いは何ですか？

NetFlow や類似のフロープロトコルは、各セッションに関する要約統計情報（送信元、宛先、バイト数、継続時間など）を、パケットの内容を含めずに記録します。一方、パケットキャプチャはペイロードを含む実際のパケットを記録するため、はるかに詳細な情報を得られますが、その代わりにストレージや処理にかかるコストも大幅に高くなります。

パケットキャプチャとディープパケットインスペクションは同じものですか？

いいえ。ディープパケットインスペクション（DPI）は、トラフィックの分類やポリシーの適用を行うためにパケットの内容をリアルタイムで検査し、その後そのパケットを破棄します。一方、パケットキャプチャは、後での分析のためにパケットをファイルに書き出します。DPIエンジンがキャプチャをトリガーすることはありますが、これら2つは別個の機能です。

pcapファイルを開くには、どのようなツールを使っていますか？

Wireshark などのプロトコルアナライザは、pcap や pcapng ファイルを開いてデコードするための標準的なツールであり、アナリストはこれを使用してフィルタリングやセッションの追跡、ヘッダーやペイロードの検査を行うことができます。tcpdump や tshark などのコマンドラインツールも、pcap ファイルを読み込むことができます。

パケットキャプチャはネットワークのパフォーマンスに影響を与えますか？

はい。パケットのキャプチャとエクスポートには、キャプチャを行うデバイスとデータを受信するコレクターの両方でCPUとストレージリソースが消費されるため、多くの導入事例では、本番環境で継続的に行うのではなく、セキュリティインシデントの発生時や、あらかじめ定義されたトラブルシューティングの時間帯など、特定の状況に限定して有効にしています。

パケットキャプチャの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

「パケットキャプチャ」についてお読みの方は、次にこれらもぜひご一読ください。