いけりり＠幕張メッセ 情報セキュリティEXPO 2019です。
現地にて、iperfで負荷をかけながら、Profitap社のProfiSharkと見える化ツールのProfiSightを用いてデモンストレーションしています。


非力なノートPCでもProfiShark1Gで最小８nsのタイムスタンプでフルレートでキャプチャが取得できています。現在５３．９GB


取得したパケットはインデックス化され、ProfiSightという見える化ツールで自由にパチャートやヒストグラムや折れ線グラフなどで分析することができます。


見える化はKibanaベースのほか、よく利用するクエリがSplunk的に参照できて簡単に必要な情報を把握することができます。

いけりりブースでは、最新のキャプチャ製品を実際にデモンストレーションできる形で出展しております。


Profitap社 ProfiShark1Gおよび見える化ツール ProfiSightのデモンストレーション


Dualcomm社の１GbpsPoE対応USBキャプチャタップETAP-2003およびカットスルー型のゼロ遅延タップETAP-1000（産業用NW向け）


Android/iOS/Windows/macOSに対応したスペクトラムアナライザWiPry2500xおよび700-900MHz帯に対応したZigBee/RFID対応スペアナのWiPry790x


IEEE802.11ac 80MHz 3ストリーム対応 無線LANパケットキャプチャ 分析ツール EyePA.


Profitap社 1G/10Gbps対応 フルキャプチャアダプタ ProfiShark1G/10Gおよび見える化ツール ProfiSight、統合型キャプチャソリューション IOTA

Wireshark3.1.0開発版がリリースされました。ドラッグドロップがパケット列に拡大され、表示フィルタなど様々な場所でフィールド列の操作がマウスで簡単に行えます。
また、BrotilやWireGuardの解読、pcapファイルの暗号解読操作なども強化されています。macOSの方はダークモードも！
→ http://www.wireshark.org/

いけりり＠Metageek社 WiSpy Air および Air Viewerが到着しました。パッケージはこんな感じです。本体、アンテナ、単4の乾電池ｘ４、アンテナ固定用クリップ、ミニUSB－Lightning・USBC・MicroUSB・USB（TypeA）の４タイプのケーブルがついているほか、単四電池のかわりになるUSB-A to USB-Micro 充電ケーブルもついています。

本体は少し太い形ですが、電池がある分、長時間の計測をスマートフォンやタブレットで行うには安心感があります。標準のアンテナはホイップ型になります。

ソフトウエアはAndroid PlayおよびApple StoreでAir Viewerを取得します。ドローンなどの屋外での2.4GHz 5GHzの計測にもおすすめです。ぜひご検討くださいませ。→https://www.ikeriri.ne.jp/develop/wispy/wispyair.html

いけりり＠Dualcommさんのブースです。新製品のTAP-1000はFast Ethernet １００BASE-Tについて、カットスルー型で転送を行うことでゼロ遅延を実現したフェールセーフ型のタップです。

特にEtherCAT やPROFINETなど産業用のネットワークで遅延を気にされる方、フェイルセーフを気にされる方がキャプチャを取得する際におすすめです。


従来のデュアルリンク製品やスタッカブル製品も展示されています。

Dualcomm社代表のJohn Heさんと

もちろん一般的なLAN向けのタップとして引き続きETAP-2003も出しておりますので、どうかよろしくお願いいたします。

いけりり＠SharkfestUS’19です。

Bettyさんの巨大パケット処理についてとか

Knallさんのデバイスについての話などです

いけりり＠ベティさんからSharkfestUS’19にてプレゼントをいただきました！サメでかわいいです。

どうもありがとうございました！

いけりり＠SharkfestUS’19開発者ディナーです。今回も誕生日が近いということでプレゼントいただきました！どうもありがとうございます。

そして、今年のキットはこんな感じですTシャツいい感じ。

We have many choices to capture wireless packet, off course airmon-ng ( part of aircrack-ng ) is popular in Linux environment, using Wireless Diagnostics to enable monitor mod e in macOS, but how about Windows? There are some options such as AirPcaps, EyePA and the other commercial products.

New Wireshark3 is included with npcap packet capture driver in Windows. So we can utilize new NDIS based capture driver to capture IEEE802.11 frames.
WLANhelper.exe is a kind of airmon-ng in Windows. WLANhelper set wireless adapter into monitor mode (NetMon) in open source way.

At first, install npcap with “Support raw 802.11 traffic (and monitor mode) for wireless adapters with Wireshark3.



Next download the newest release of WlanHelper ( great work by Yang Luo )
https://github.com/hsluoyz/WlanHelper/releases

Then just execute WlanHelper.exe with Administrator privileges.
( there are many options in WlanHelper but just try it )
WlanHelper starts in interactive mode, so you will just choose opetions to set your wireless adapter in monitor mode. Choose your wireless adapter number and choose 1 to switch WLAN card to Network Monitor (NetMon).



This time I tried Planex GW-450D ( MediaTek mt7610u ), thumb size USB adapeter supports IEEE802.11abgn+ac 1x1:1. ( I tried many kinds of adapters, some Realtek and Intel failed but many Qualcomm and Broadcom works well ).

Finally, start Wireshark3 and choose Capture



I also find there are a few information in Radiotap / PPI header than AirPcap and EyePA, but its open source ! WLANhelper is a nice alternatives of commercial products !!

(Guy Harris commented below
Unfortunately, on Windows, the only information that Npcap can get for the radiotap header is what Windows' NDIS mechanism supplies, which is:
the type of PHY;
the received signal strength, in dBm;
the data rate;
the channel center frequency;
the TSF time stamp;
and there's no guarantee that a given driver will even supply all of that. I suspect the channel frequency is 0 for your device because the adapter doesn't supply it; it appears that NPF_TapExForEachOpen() in the Npcap driver is supplying the center frequency even if it's zero - I'll file a bug on that. AirPcap devices don't go through the standard Windows NDIS mechanism - they go through a special driver mechanism - so they can provide radio information that Npcap can't.)

いつもお世話になっております。いけりり★ネットワークサービス竹下です。

Malware解析セミナーを開催しています。

動的解析、静的解析をしっかりやってます！フォレンジックもありますのでどうかよろしくお願いします。