変更要約: 初版
3.2エンドポイントのセキュリティ評価ツール
エンドポイントの状態を調べる3つの定番ツール——通信状態やリッスンポートを見るnetstat、名前解決を確かめるnslookup、実際のパケットを捕まえるtcpdump——を、「この不審な症状はどのツールで確かめるか」を見分ける基礎として学びます。
「このPCの様子がおかしい」と感じたとき、勘で判断するのではなく、まずエンドポイント自身の状態を数字や記録で確かめるのが基本です。そのための定番ツールが3つあります——いま何とつながり、どのポートで待ち受けているかを見るnetstat、名前（ドメイン）がどのIPに解決されるかを確かめるnslookup、そして実際に流れているパケットを捕まえて中身を見るtcpdumpです。この節では、これら3つがそれぞれ何を答えてくれるツールなのかを区別し、「この不審な症状は、どのツールで確かめるのが妥当か」を判断できるようになることを目指します。深いパケット解析まで踏み込む必要はなく、まず役割の違いを識別できれば十分です。
3.2.1netstat：接続とリッスンポート
- netstat＝そのエンドポイントの現在の通信接続と、待ち受け（リッスン）中のポートを一覧するツール。「どのプロセスが、どの外部アドレスと、どのポートでつながっているか」が分かる。不審な外部への接続や、身に覚えのないリッスンポートは、マルウェアやバックドアの手がかりになる。
- 例えば
netstat -ano（Windows）で、0.0.0.0:4444のような見慣れないポートが LISTENING になっていれば、そのポートを開いているプロセスIDを手がかりに調査する。「何と通信しているか」「どの入口を開けているか」を確かめたいときの第一の道具。
3.2.2nslookup：名前解決の確認
- nslookup＝ドメイン名がどのIPアドレスに解決されるか（またはその逆）を、DNSに問い合わせて確かめるツール。「名前が正しいIPに引けているか」「攻撃者に書き換えられていないか」を確認できる。
- 例えば正規サイトの名前が見覚えのないIPに解決されるなら、DNSポイズニングやhostsファイル改ざんの疑いがある。
nslookup example.comの結果が想定と違うIPを返す、というのは名前解決の異常を切り分ける典型的な使い方。ポートやパケットではなく「名前とIPの対応」を疑うときの道具。
3.2.3tcpdump：パケットキャプチャ
- tcpdump＝ネットワークインターフェースを流れる実際のパケットを捕まえて（キャプチャして）表示するツール（Linux/macOSで標準的、WindsではWireshark等が同種）。送信元/宛先・プロトコル・中身の一部まで、通信の生の様子を観察できる。
- 接続一覧（netstat）や名前解決（nslookup）だけでは分からない「実際に何が流れているか」を確かめたいときに使う。ただしCCST（入門）では深いパケット解析までは求められず、「パケットを捕まえて中身を観察するツール」という役割の識別ができれば十分。大量のトラフィックから該当分だけを絞るフィルタ指定が実務では重要になる。
「netstat＝接続一覧とリッスンポート（何とつながり・どの入口を開けているか）」「nslookup＝DNSへの名前解決の確認（名前とIPの対応）」「tcpdump＝実際のパケットを捕まえて中身を観察（生の通信）」という3ツールの役割分担が頻出です。「症状に合ったツールを選ぶ」判断を意識しましょう。
あるユーザーから「PCが妙に重く、ネットのランプが誰も操作していない夜間もチカチカ点滅している」と相談を受けたとします。まず疑うのは「何かが勝手に外部と通信しているのでは」という点なので、最初の一手はnetstatです。netstat -ano で接続一覧とリッスンポートを見て、見覚えのない外部アドレスへの ESTABLISHED や、0.0.0.0:4444 のような不審なリッスンポートがないかを確かめます。ここで怪しい外部ドメインへの接続が見つかったら、次はそのドメインが本物かを確かめるためにnslookupを使い、正規のIPに解決されているか、あるいは攻撃者のサーバらしきIPに向いていないかを見ます。もし「名前とIPの対応」自体がおかしいなら、DNSポイズニングやhosts改ざんという別の切り口が浮かびます。それでも「実際に何が送られているのか」を確かめたい段階になったら、最後にtcpdumpでその通信のパケットを捕まえ、生の様子を観察します。ここで大切なのは、症状（何とつながっているか／名前解決は正しいか／実際のパケットはどうか）に応じて3つのツールを使い分けるという発想です。むやみに全部を一度に回すのではなく、まずnetstatで当たりを付け、必要に応じてnslookup・tcpdumpへ掘り下げる——この段取りが、限られた時間で原因に近づくコツです。入門段階では各ツールの深いオプションを覚えるより、「どの症状にどのツールか」を正しく選べることを優先しましょう。
| ツール | 何を答えるか | 主な使いどころ |
|---|---|---|
| netstat | 現在の接続とリッスン中のポート | 不審な通信先・開いている入口を洗い出す |
| nslookup | 名前がどのIPに解決されるか（DNS） | 名前解決の異常（改ざん等）を切り分ける |
| tcpdump | 実際に流れるパケットの中身 | 生の通信を観察して事実を確かめる |
ひっかけ： 「nslookupを使えば、そのPCが実際に送っているパケットの中身まで確認できる」は誤りです——nslookupはDNSの名前解決（名前とIPの対応）を確かめる道具で、生のパケットを見るのはtcpdumpです。また「netstatはDNSの名前解決を行うコマンド」も誤り＝netstatは接続一覧とリッスンポートを見るもので、名前解決はnslookupの役割です。
3.2.4この節のまとめ
- netstatは現在の接続とリッスンポートを一覧し、不審な通信先や開いた入口を洗い出す
- nslookupはDNSに問い合わせて名前とIPの対応を確かめ、名前解決の異常（改ざん）を切り分ける
- tcpdumpは実際のパケットを捕まえて中身を観察する。症状に応じて3ツールを使い分けるのが基本
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. あるPCが誰も操作していない夜間に外部と通信している疑いがある。まず「いま何とつながり、どのポートで待ち受けているか」を一覧で確認するのに最も適したツールはどれか。
Q2. 正規の社内サイトの名前が、見覚えのないIPアドレスに解決されている疑いがある。「名前とIPの対応」が正しいかをDNSに問い合わせて確認するのに最も適したツールはどれか。
Q3. netstatとtcpdumpの役割の違いの説明として最も正確なものはどれか。