ケーススタディ -...
TRANSCRIPT
![Page 1: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/1.jpg)
ケーススタディ(ネットワークの遅延と戦う – 後編)
Hokkaido.cap #5
2011.08.26
Masayuki YAMAKI
![Page 2: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/2.jpg)
今日の目標
• P2Pソフトによってネットワークが遅延しているシナリオを体験し、これらのパケットがWiresharkでどのように見えるか確認しましょう。
• Conversatios等、便利な解析機能の使い方を覚えましょう。
2
![Page 3: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/3.jpg)
前回までのおさらい
• これまでの資料を以下のURLで公開しています。(USBメモリにも収録しています)Wiresharkを初めて使う方は参照しながら進めてみてください。
http://www.slideshare.net/eightroll
• 操作方法がわからない場合は、遠慮せずにどんどん質問してください。
3
![Page 4: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/4.jpg)
今日の進め方
• 「実践パケット解析第8章ケーススタディ(ネット
ワークの遅延と戦う)」の内容をベースに進めます。本書をお持ちの方は演習に合わせて参照してください。(スライドには概要のみ記載しています)
• 気付いた点やわからない点があれば自由にディスカッションしましょう。
4
![Page 5: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/5.jpg)
5
演習資料
- ネットワークの遅延と戦う(後編) -
![Page 6: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/6.jpg)
BitTorrentの大雨 (1/3)
• サンプルファイル : torrential-slowness.pcap
• 大量のTCP通信が記録されているファイル。(これだけでは状況がわからない)
• PSHフラグが立っている。
- 受信バッファをスキップして優先的に上位アプリケーションにデータを渡す。
• 通信全体の傾向やノードごとの対話状況を見る。
[Statistics] → [Conversations]
6
![Page 7: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/7.jpg)
BitTorrentの大雨 (2/3)
• 192.168.0.193のノードが外部ノードと大量に通信している。(1秒以内に送信:10、受信:16)
7
![Page 8: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/8.jpg)
BitTorrentの大雨 (3/3)
• 「Follow TCP Stream」では中身が解読できない。
• パケット一覧部を先頭から見ていくと、44番目のパケットが「BitTorrent」の名前解決であることがわかる。
8
• パケットを1つ1つ見ていくことが解決に繋がる場合もある。
![Page 9: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/9.jpg)
補足 : Endpoints 機能
• キャプチャデータの中から通信量の多いノードを特定するには、Conversations機能に加え、Endpoints機能も有効。
9
![Page 10: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/10.jpg)
メールサーバに流れ込む POP (1/3)
• サンプルファイル : email-troubles.pcap
• メールサーバ上でキャプチャしたデータ。
- 大量の POP(Post Office Protocol) パケットが流れ込んでいる。
10
![Page 11: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/11.jpg)
メールサーバに流れ込む POP (2/3)
• POPはテキストベースのプロトコルのため、「Follow TCP Stream」で中身が見える。
11
![Page 12: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/12.jpg)
メールサーバに流れ込む POP (3/3)
• 「document_9446.pif」というファイルが添付されている。
→ 原因はワームによる大量スパムメール
12
![Page 13: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/13.jpg)
Gnutellaも大雨 (1/4)
• サンプルファイル : gnutella.pcap
• たくさんの外部ノードに通信を試みている。
- ただし、ほとんどはSYNパケットに対して応答がない。またはRSTを受け取っている。
13
![Page 14: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/14.jpg)
Gnutellaも大雨 (2/4)
• 調査すべきトラフィックを把握するため、「Conversations」機能を使う。
- たくさんの外部ノードと少ないパケットをやり取りしているのがわかる。
14
![Page 15: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/15.jpg)
Gnutellaも大雨 (3/4)
• 成功している通信から手掛かりを掴むため、Packetsでソート後、フィルタを適用する。
15
![Page 16: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/16.jpg)
Gnutellaも大雨 (4/4)
• 431番目のパケットなどから、このノードがGnutellaの通信を実行していることがわかる。
16
![Page 17: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/17.jpg)
17
まとめと参考資料
![Page 18: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/18.jpg)
この演習のまとめ
• P2Pソフトやワームによってネットワークが圧迫されている通信がWiresharkでどのように見えるか確認しました。
• 実際のキャプチャデータでは似たようなパケットが大量に記録されるため、今回使用したConversations機能等を活用して素早く原因を特定できるようになりましょう。
18
![Page 19: ケーススタディ - file.blog.fc2.comfile.blog.fc2.com/takugtuu/download/network_delay2.pdfHokkaido.cap#5 2011.08.26 MasayukiYAMAKI. 今日の目標 • P2Pソフトによってネットワークが遅延しているシ](https://reader030.vdocuments.net/reader030/viewer/2022040716/5e21ae77adcaa63f9a6ae506/html5/thumbnails/19.jpg)
参考資料
• 実践パケット解析 - Wiresharkを使ったトラブルシューティング
- http://www.oreilly.co.jp/books/9784873113517
- ISBN978-4-87311-351-7
19