質問: ダークネット観測の仕組みについて質問です。
回答: あれ、便利ですよね (w 世間的に、○○の攻撃が....なんて、注目やら、騒ぎに成る以前に把握や、推測材料になるし、あるいは、騒ぎに成ってから、一頃落ち着いた後の事後とかでの、経過(今だに、まだまだ攻撃やまずで、有効な手段なのか?!)とかの推測でも出来たりで。 現物見たこと無いけど、通信の中継点とか、ハニーポッドを仕掛けての観測かと思いますが.... 来るモノ拒まず、片っ端からまずは、通信を披露、パケットを(フィルタリングなどせずに)漏らさず記録をして分析かと思いますが。 例えば、3wayハンドシェイクでコネクションが確立なんて上層の事ではなくて(実際、あえてコネクションを成立させない失敗に誘導なんて攻撃手法もありますし、そんな、本来のプロトコルが意図してる処理シーケンスを中断させて、正常とはしない事はあるあるですから、そうなると、通常でのOSやソフトウェアから見える範囲以前での出来事ですし)、Ethernetレベルと低水準な部分とかで(極論すると、NICに流れてくるモノを全て)で、流れているパケットを漏れなく拾って、これを解析と分類とかかと。 断片的ですけど、 "ダークネット 観測の仕方" でググると、いくつか、学術的な資料、カンファレンスでの説明資料など見つかりますから、片っ端から目を通して見ましょう。