概要
ネットワークトラフィック監視は、通信そのもの（パケット・フロー）をネットワーク経路上で収集する技術です。SOC/SIEMがログを相関分析する「上流の分析基盤」だとすれば、本記事の対象はその分析の元データをネットワーク層でどう取得するかという「収集手段」にあたります。SC試験ではNetFlowによるフロー監視とフルパケットキャプチャの使い分け、SPAN/TAPというトラフィック収集方法の違いが頻出です。
仕組みと動作原理
フロー監視（NetFlow/sFlow）とフルパケットキャプチャの違い
| 観点 | フロー監視（NetFlow/sFlow） | フルパケットキャプチャ |
|---|---|---|
| 収集単位 | 送信元/宛先IP・ポート・プロトコル等のメタデータ集計 | ペイロードを含むパケット全体 |
| データ量 | 小さい（長期保存に向く） | 膨大（保存期間は限定的） |
| 可視化できる内容 | 通信量・通信相手・通信傾向（誰が誰と話したか） | 通信内容そのもの（何を話したか） |
| 主な用途 | トラフィック傾向分析・帯域監視・異常な通信量の検知 | インシデント発生時の詳細調査・フォレンジック |
| 暗号化通信への対応 | メタデータのみのため暗号化の影響を受けにくい | ペイロードが暗号化されていれば内容は読めない |
NetFlow（Cisco開発、後にIPFIXとして標準化）はルータ/スイッチが通信を「フロー」単位で集計してエクスポートする方式、sFlowはパケットをサンプリングして統計的に把握する方式です。いずれも全パケットを記録するわけではなく、通信の「誰が・いつ・どれだけ」を軽量に把握することに主眼があります。
トラフィックの収集方法：SPANとTAP
パケットキャプチャやIDS/IPSがトラフィックを見るには、正規の通信経路からコピーを取り出す仕組みが必要です。
| 方式 | 仕組み | 特徴 |
|---|---|---|
| SPAN（ミラーポート） | スイッチの機能で特定ポートの通信を別ポートに複製 | 追加機器不要で安価。スイッチの処理負荷が高いとパケットロスの可能性 |
| TAP（Test Access Point） | 通信経路上に物理的に割り込む専用機器 | 全二重を完全にキャプチャでき信頼性が高いが専用ハードウェアが必要 |
SIEMとの連携
NetFlowデータやパケットキャプチャ由来のアラートは、SIEM（Security Information and Event Management）に集約され、サーバログや認証ログなど他のログと相関分析されます。ネットワーク層の収集技術は「生データの取得元」であり、SIEMは「複数ソースを横断した分析基盤」という役割分担になります。
暗号化トラフィックの可視化の限界
TLSで暗号化された通信は、フルパケットキャプチャを行ってもペイロードの中身をそのまま読むことはできません。可視化のためには以下のような対応が必要になりますが、いずれもトレードオフを伴います。
- TLSインスペクション（中間者的復号）：プロキシやNGFWがTLSを一度復号して検査し再暗号化する。プライバシー・パフォーマンス・証明書管理の負担が生じる
- JA3/JA3S等のTLSフィンガープリンティング：復号せずにTLSハンドシェイクの特徴から通信の傾向（マルウェア通信の疑い等）を推定する
- フロー情報での代替：ペイロードは見えなくても、通信先IP・ポート・通信量・時間帯といったメタデータから異常を推定する
SC試験での頻出ポイント
- NetFlowとパケットキャプチャの使い分け：長期の傾向把握・帯域監視はNetFlow、詳細調査・証跡確保はフルパケットキャプチャ
- SPANとTAPの違い：SPANはスイッチ機能を利用（負荷次第でパケットロスの可能性）、TAPは専用機器で物理的に分岐（高信頼性）
- 暗号化トラフィックは内容が見えない：TLS化された通信はキャプチャしてもペイロードは読めず、復号（TLSインスペクション）か メタデータ分析で代替する
- ネットワーク監視とSIEM/ログ管理の役割分担：前者は収集手段、後者は複数ソースの相関分析基盤という関係
- フロー情報のみでは攻撃の詳細（ペイロード内容）までは分からない：異常な通信量やアクセス先の把握はできても、攻撃コードの特定にはパケット解析が必要
よくある誤問・ひっかけパターン
誤り① 「NetFlowを導入すれば通信内容（何をやり取りしたか）まで分かる」→ 誤。NetFlowはIPアドレス・ポート・通信量などのメタデータを集計する仕組みであり、ペイロードの内容は記録しません。内容を確認するにはフルパケットキャプチャが必要です。
誤り② 「SPANポートはTAPより高機能で常に優れている」→ 誤。SPANはスイッチの処理負荷次第でミラーリングしたパケットが取りこぼされることがあり、輻輳時の信頼性ではTAPに劣ります。SPANは低コストで導入しやすい代わりに、確実性が求められる用途ではTAPが選ばれます。
誤り③ 「フルパケットキャプチャをしていればHTTPS通信の中身も全部見える」→ 誤。TLSで暗号化されたペイロードはキャプチャしても復号されなければ読めません。内容を確認するにはTLSインスペクション（プロキシ等での復号）や証明書配布による中間介在が別途必要です。
関連用語
- IDS/IPSとWAF — SPAN/TAPで収集したトラフィックを検知・遮断する装置
- SOC/SIEM/SOAR — 収集したトラフィックデータを他ログと相関分析する基盤
- ログ管理と監査証跡 — アプリ/OSログとネットワークトラフィック収集の役割の違い
- TLS（Transport Layer Security） — 暗号化トラフィックの可視化限界の直接的な要因
重要キーワード
| 用語 | 説明 |
|---|---|
| NetFlow/sFlow | 通信をフロー単位のメタデータとして集計・エクスポートする技術 |
| フルパケットキャプチャ | ペイロードを含む通信全体を記録する収集方式 |
| SPAN（ミラーポート） | スイッチ機能で特定ポートの通信を複製する収集方法 |
| TAP | 通信経路に物理的に割り込みトラフィックを分岐する専用機器 |
| TLSインスペクション | TLS通信を一旦復号して検査し再暗号化する仕組み |
| JA3/JA3S | TLSハンドシェイクの特徴から通信を復号せずに識別する手法 |