4.4pcap分析（ストリーム再構成と侵入の要素）

アラートやフローが「怪しい」と教えてくれても、何が実際にやり取りされたのかはパケットの中身を見るまで確定しません。ネットワークを流れるTCPは細かなセグメントに分かれて到着するため、そのままでは意味を成しません。pcap分析の核心は、バラバラのセグメントを順序どおり再構成してアプリ層の会話（HTTPのGET応答、送られたファイル）を復元し、そこから誰が誰に何を送ったかを確定させることです。この節では、ストリーム再構成とファイル抽出の手順、そしてパケットから侵入の要素（5タプル＋ペイロード）を読み取り、被害ホストと攻撃者インフラを名指しする流れを学びます。

4.4.1ストリーム再構成とファイル抽出

• TCPはデータをセグメントに分割し、順序番号（seq/ack）で並べ替えられる。WiresharkのFollow TCP Streamは同一コネクション（同じ5タプル）のセグメントをseq順に連結し、送受信を色分けしたアプリ層の生データ（HTTPリクエスト/レスポンス本文など）を復元する。まず「どのストリームか」をフィルタ（例 tcp.stream eq 3）で絞るのが起点。
• 転送されたファイルの取り出しは、再構成したストリームのペイロードを保存するか、WiresharkのFile > Export Objects > HTTP（またはSMB等）で応答本文をそのままファイルとして書き出す。抜き出した検体はハッシュ（例 sha256）を計算してレピュテーション照合し、IOCとして登録する。これがpcapから「実際に落ちたマルウェア」を確定させる標準手順。