4.5プロトコルヘッダ・アーティファクトと正規表現

パケットのヘッダは、攻撃を読み解くための手がかりの宝庫です。どのフィールドが何を意味するかを知っていれば、スキャンの種類（TCPフラグ）、C2の疑い（DNSの異常なクエリ）、なりすまし（ARPの重複）などを、中身を全部読まずとも見抜けます。そして分析で得た確かな痕跡＝アーティファクト（IOC）を抽出して共有すれば、他のシステムでも同じ脅威を検索・ブロックできます。さらに大量のログやペイロードから目的の文字列を拾うには正規表現が不可欠です。この節では、主要プロトコルのヘッダの読み、IOCの要素、基本正規表現を、SOCの探索・可視化の道具として結びつけます。

4.5.1主要プロトコルのヘッダと読み

• L2/L3：Ethernetは送信元/宛先MACとEtherType（MACの先頭3バイト=OUIでNICベンダを示唆・同一セグメント内のみ）。IPv4はsrc/dstIP・TTL・プロトコル番号・フラグ/フラグメント（TTLは残ホップでOS/経路長の手がかり）。IPv6は128ビットアドレス・Next Header・Hop Limit。ARPはIP↔MAC解決で、同一IPに複数MACや不審なgratuitous ARPはARPスプーフィングの兆候。
• L4：TCPはsrc/dstポート・seq/ack・フラグ（SYN/ACK/FIN/RST/PSH/URG）・ウィンドウ。フラグの並びはスキャン種別を示す（SYNのみの多数＝SYNスキャン、RST多発＝閉ポート応答）。UDPはsrc/dstポートと長さのみでコネクションレス。ICMPはtype/code（echo要求/応答、到達不能）で、pingスイープやICMPトンネリングの材料になる。
• L7：DNSはクエリ/応答のドメイン名で、異常に長いランダムなサブドメインや大量のTXTはDNSトンネリング/DGAを疑う。HTTP(80)はHost/URI/User-Agent/メソッドが見え、HTTPS(443)はTLSで本文が暗号化されSNI程度しか見えない。メールはSMTP(25/587)送信・POP3(110)・IMAP(143)受信で、From/To/Subjectや添付がフィッシング解析の要点。

4.5.2アーティファクト（IOC）の要素

• アーティファクト＝分析から得た、脅威を一意に指す確かな痕跡。ネットワーク由来ならIP・ドメイン・URL・User-Agent、ファイル由来ならハッシュ（md5/sha256）・ファイル名・パス、ホスト由来ならレジストリキー・ミューテックス・作成ユーザなど。これらはIOC（侵害の痕跡）として登録・共有され、他資産の検索やブロックに使える。
• 良いアーティファクトは具体的で再現性がある（例：特定のsha256、特定のC2ドメイン）。逆に「怪しいEXE」のような曖昧語はIOCにならない。ヘッダ/ペイロード分析→アーティファクト抽出→IOC共有、という流れで、1件の解析結果を組織全体の検知に横展開するのがSOCの価値。

4.5.3基本正規表現

• 正規表現は文字列パターンを記述する道具で、SIEM検索・grep・IPS署名（pcre）で使う。基礎要素：アンカー^（行頭）/$（行末）、文字クラス[0-9]や\d（数字）/\w（英数字）、量指定*（0回以上）/+（1回以上）/?（0か1）/{n}（n回）、任意1文字.、選択a|b、グループ(...)。
• 実務例：IPv4を拾う\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\b（.はリテラルの必要があり\.とエスケープ）、sha256らしい64桁16進を拾う\b[a-f0-9]{64}\b、メールアドレスの粗い抽出[\w.-]+@[\w.-]+。メタ文字を文字通り探すときはエスケープ（.→\.）が要点で、これを怠ると「任意1文字」に化けて誤マッチする。

フィッシングの疑い調査で、あなたは1通のメール配送に関わるpcapとプロキシログを渡されました。メールはSMTP(25)で届いており、ヘッダのFromが正規ドメインを騙る一方、実際の配送元IPとReceived経路は無関係な海外ホストでした——ここで送信ドメイン認証の不一致という手がかりが得られます。本文中のリンクはhttp://secure-login.bad.example/verifyで、これはユーザがクリックするとHTTP(80)でプロキシを通り、User-AgentとURLがログに残ります。あなたは大量のプロキシログから該当URLと類似の亜種を拾うため、正規表現https?://[\w.-]*bad\.example/\S*のようなパターンで検索します（.は\.でエスケープし、s?でhttp/https両対応）。ヒットしたエントリから、確かなアーティファクト＝悪性ドメインbad.example、フルURL、被害ユーザ、そしてもし添付があればそのsha256を抽出します。これらをIOCとして登録すれば、他のユーザが同じドメインへアクセスした痕跡をプロキシ/DNSログで一括検索でき、DNSに異常に長いランダムサブドメインが並んでいれば追加のトンネリングも疑えます。ここで重要なのは、ヘッダの各フィールドが「どのプロトコルの・何を意味する情報か」を知っていることが、手がかりの抽出速度を決めるという点です。もしメールプロトコルを取り違えて「これはIMAP(143)の受信だから送信元は関係ない」などと誤読すれば、配送経路の偽装という核心の証拠を見落とします。そして抽出した痕跡は、曖昧な「怪しいメール」ではなく、再現性のある具体的なIOC（ドメイン・URL・ハッシュ）にまで落とし込んで初めて、組織全体の検知に横展開できるのです。

4.5.4この節のまとめ

• ヘッダは手がかりの宝庫：TCPフラグでスキャン、DNSの長大ランダムでトンネリング/DGA、ARPの同一IP多重MACでスプーフィング、HTTPSは本文暗号でSNI程度。ポート（80/443/53/25/110/143）も要記憶
• アーティファクト（IOC）は具体的で再現性のある痕跡（ハッシュ・ドメイン・URL・IP）。曖昧語はIOCにならず、抽出→共有で組織全体の検知に横展開する
• 正規表現は^ $ [] \d + * ? {n} . | ()が基礎。メタ文字の.はリテラルなら\.にエスケープする（怠ると任意1文字に化けて誤マッチ）