第4章 · ネットワーク侵入分析·v1.0.0·更新 2026/7/20·読了目安 約16分
変更要約: 初版
4.5プロトコルヘッダ・アーティファクトと正規表現
この節の要点
Ethernet/IPv4/IPv6/TCP/UDP/ICMP/DNS/SMTP・POP3・IMAP/HTTP・HTTPS/ARPの各ヘッダ要素から何が読み取れるか、分析の成果物であるアーティファクト（IOC＝ハッシュ・URL・ドメイン・IP・ファイル名等）、そしてログ/ペイロード探索の道具である基本正規表現を、脅威を可視化して次の調査へつなぐ技能として学びます。
パケットのヘッダは、攻撃を読み解くための手がかりの宝庫です。どのフィールドが何を意味するかを知っていれば、スキャンの種類（TCPフラグ）、C2の疑い（DNSの異常なクエリ）、なりすまし（ARPの重複）などを、中身を全部読まずとも見抜けます。そして分析で得た確かな痕跡＝アーティファクト（IOC）を抽出して共有すれば、他のシステムでも同じ脅威を検索・ブロックできます。さらに大量のログやペイロードから目的の文字列を拾うには正規表現が不可欠です。この節では、主要プロトコルのヘッダの読み、IOCの要素、基本正規表現を、SOCの探索・可視化の道具として結びつけます。
4.5.1主要プロトコルのヘッダと読み
- L2/L3：Ethernetは送信元/宛先MACとEtherType（MACの先頭3バイト=OUIでNICベンダを示唆・同一セグメント内のみ）。IPv4は
src/dstIP・TTL・プロトコル番号・フラグ/フラグメント（TTLは残ホップでOS/経路長の手がかり）。IPv6は128ビットアドレス・Next Header・Hop Limit。ARPはIP↔MAC解決で、同一IPに複数MACや不審なgratuitous ARPはARPスプーフィングの兆候。 - L4：TCPは
src/dstポート・seq/ack・フラグ（SYN/ACK/FIN/RST/PSH/URG）・ウィンドウ。フラグの並びはスキャン種別を示す（SYNのみの多数＝SYNスキャン、RST多発＝閉ポート応答）。UDPはsrc/dstポートと長さのみでコネクションレス。ICMPはtype/code（echo要求/応答、到達不能）で、pingスイープやICMPトンネリングの材料になる。 - L7：DNSはクエリ/応答のドメイン名で、異常に長いランダムなサブドメインや大量のTXTはDNSトンネリング/DGAを疑う。HTTP(80)は
Host/URI/User-Agent/メソッドが見え、HTTPS(443)はTLSで本文が暗号化されSNI程度しか見えない。メールはSMTP(25/587)送信・POP3(110)・IMAP(143)受信で、From/To/Subjectや添付がフィッシング解析の要点。