PCAPNG と PCAP: インターフェイスのメタデータとタイムスタンプの解像度が重要な理由

エンジニアは、「.pcap」と「.pcapng」を交換可能なパケット キャプチャ ファイルとして扱うことがよくあります。これらは関連していますが、同じではありません。古い PCAP 形式はシンプルで広くサポートされています。 PCAPNG は、インターフェイス情報、タイムスタンプ解像度、コメント、キャプチャ コンテキストなどの豊富なメタデータを伝送できます。

日常的に見る場合には、違いは重要ではないかもしれません。修復、書き換え、証拠の受け渡し、およびマルチインターフェイス分析の場合、それは非常に重要になる可能性があります。

クラシック PCAP が提供するもの

従来の PCAP は簡単です。

• グローバルヘッダー
• リンクタイプ
• パケットレコード
• timestamp
• キャプチャされた長さ
• 元の長さ
• パケットバイト

そのシンプルさが強みです。多くのツールで読み取ることができます。検査が簡単です。キャプチャに 1 つのインターフェイス、1 つのリンク タイプがあり、追加のコンテキストが必要ない場合は、これで十分であることがよくあります。

しかし、シンプルであるということは、インターフェイス名、キャプチャ フィルタ、OS、タイムスタンプ解像度の仮定、キャプチャが行われた理由に関するコメントなど、重要な証拠がファイルの外に存在する可能性があることも意味します。

PCAPNG が追加するもの

PCAPNG はブロックベースの構造をサポートします。ライターによっては、次のものが含まれる場合があります。

• セクションメタデータ
• インターフェースの説明
• インターフェイスごとのタイムスタンプ解決
• インターフェイスの名前と説明
• パケットコメント
• 統計を取得する
• 複数のインターフェース
• 豊富なオプションフィールド

これは、複雑なケースを診断するときに役立ちます。キャプチャに複数のインターフェイスからのトラフィックが含まれている場合、どのパケットがどのインターフェイスから来たのかを知ることはオプションではありません。タイムスタンプの解像度が異なると、タイミング解析が変わる可能性があります。

手術ワークフローでメタデータが重要な理由

パケット キャプチャを修復または書き換える場合、メタデータは証拠の一部です。 PCAPNG から PCAP への変換では、有用なコンテキストが破棄される可能性があります。 PCAP から PCAPNG への変換は構造を追加する可能性がありますが、存在しなかったメタデータを魔法のように回復することはできません。

変換する前に、次のことを尋ねてください。

• キャプチャには複数のインターフェイスがありますか?
• インターフェイス名は重要ですか?
• コメントや統計情報の取得は必要ですか?
• タイムスタンプの解像度は知られていますか?
• ダウンストリームツールには従来の PCAP が必要ですか?
• 変換によってタイミングの解釈方法は変わりますか?

正解は「PCAPNG を維持する」かもしれません。 「互換性のために PCAP コピーをエクスポートするが、オリジナルは保持する」場合もあります。

タイムスタンプの解決は見逃しやすい

タイミング解析は解像度に依存します。マイクロ秒を記録するキャプチャとナノ秒を記録するキャプチャは、UI では似ていますが、精度は異なります。 PCAPNG では、タイムスタンプ解決をインターフェイスごとに明示的に行うことができます。従来の PCAP では、バリアントに応じて、より限定的な前提条件が設けられています。

レイテンシー、再送信のタイミング、ジッター、または要求と応答のギャップをデバッグしている場合は、編集前にタイムスタンプ セマンティクスを記録する必要があります。

PCAP 手術が適している場所

PCAP 手術では、フォーマット変換とメタデータの保存を証拠主導の操作として扱う必要があります。目標は複雑さを隠すことではありません。目標は、キャプチャに何が含まれているか、編集によって何が失われるか変更されるかを明確にすることです。

形式に重点を置いたレポートの場合、役立つ出力には次のものが含まれます。

• 入力フォーマット
• リンクタイプ
• パケット数
• タイムスタンプの解決
• インターフェースのメタデータ (利用可能な場合)
• 出力形式
• メタデータの保存または破棄
• 変換の理由

これにより、プロトコル エンジニアは、ファイルが意図的に変換されたものであるという確信を得ることができます。

クエリが「pcapng と pcap」または「pcapng を pcap に変換」の場合、答えはファイル拡張子で終わるべきではありません。どのような証拠が改宗後も生き残らなければならないかを尋ねてください。