LinuCレベル3 セキュリティスペシャリスト インシデントの検知・防止 問17
インシデントの検知・防止／ネットワークセキュリティ攻撃の兆候を後から解析できるよう、サーバーの eth0 の通信を tcpdump で長期間キャプチャし続けたい。ディスクを使い切らないよう、約100MBごとに保存先のファイルを切り替え、ファイルは最大10個までとして古いものから上書きさせたい。コマンドとして適切なものはどれか。
当サイトのオリジナル問題（LinuCレベル3 セキュリティスペシャリストの出題範囲「インシデントの検知・防止」に対応。実際の試験問題ではありません）
- Atcpdump -i eth0 -w cap.pcap -C 100 -W 10
- Btcpdump -i eth0 -w cap.pcap -c 100 -W 10
- Ctcpdump -i eth0 -w cap.pcap -s 100 -W 10
- Dtcpdump -i eth0 -w cap.pcap -G 100
正解：A
解説
tcpdump の -C は、-w で保存するファイルの大きさの上限を100万バイト単位で指定し、上限を超えると番号を付けた次のファイルへ切り替えます。-W を組み合わせるとファイルの数が指定した個数に制限され、個数に達すると最初のファイルから上書きしていくリングバッファになります。この例では cap.pcap0〜cap.pcap9 のような名前のファイルが最大10個作られます。-G は一定の秒数ごとにファイルを切り替える指定で、時刻の書式を含むファイル名と組み合わせて使います。
選択肢ごとの解説
- A正しい。-C 100 で約100MBごとにファイルを切り替え、-W 10 でファイルを10個までに制限して古いものから上書きさせます。
- B誤り。-c は取得するパケットの数を指定するオプションで、100パケットを取得した時点でキャプチャが終了してしまいます。
- C誤り。-s はパケットごとに保存するバイト数（スナップ長）を指定するオプションで、ファイルの切り替えは行いません。
- D誤り。-G 100 は100秒ごとにファイルを切り替える指定で、大きさでの切り替えや個数の上限にはならず、ファイル名も時刻の書式を含めないと上書きされます。