paloaltoの解析講座3：Wireshark

• paloalto解析講座の続き

UserAgent から Windows OS Version を 特定

Windows NT Version	Windows OS Version
Windows NT 5.1	Windows XP
Windows NT 6.0	Windows Vista
Windows NT 6.1	Windows 7
Windows NT 6.2	Windows 8
Windows NT 6.3	Windows 8.1
Windows NT 10	Windows 10 または Windows 11

解析講座で使用したFilter

• 名前解決をするプロトコル
  ホスト名の確認が可能。
  
  

Dynamic Host Configuration Protocol

dhcp

NetBIOS Name Service

nbns

• ヘッダーの指定方法
  一般的にWebブラウザが作成するヘッダーとのこと
  httpだけだと、ブラウザでないHTTPの通信も表示される

HTTP from Browser

http.accept_language

• ケルベロス認証からホスト名の確認が可能
  
• Columnに追加を選択。
  
• Columnに一覧で確認できるようになった。
  

Kerberos Authentication

kerberos.CNameString

• LDAPからホスト名の確認が可能
  

Lightweight Directory Access Protocol

ldap contains "CN=Users"

• IP以上のレイヤーから、平文のASCII文字列検索

Computer Name (Windows)

ip contains "DESKTOP-"

文字列の検索

• Edit Find Packet…を選択して、入力欄を表示
  

• Packet details Stringを選択し、検索を実行
  Wiresharkでデコードされた結果からも検索できる
  

• 以上です。