Stratosharkと新コミュニティの爆誕｜OSSが切り拓くクラウドセキュリティの次章
本記事は、全6回の連載「クラウドの中を“観る力”」の最終回です。
この連載では、可視化という観点からOSSの進化をたどりながら、クラウドネイティブ時代における観測・セキュリティの在り方を読み解いていきます。
第1回： Sysdigのルーツ｜“Wireshark for the Cloud”が目指す未来
第2回： EtherealとWinPCAP｜クラウド可視化を切り拓く技術の出発点
第3回： Wiresharkが育てたコミュニティ｜“Shark”たちの文化が生んだ継承力
第4回： Sysdig OSSが可視化したコンテナの“中身”｜System Callが開いた世界
第5回： Falcoが変えた“検知”の常識｜振る舞いベースで守るOSSセキュリティ
第6回： Stratosharkと新コミュニティの爆誕｜OSSが切り拓くクラウドセキュリティの次章 ← 本記事
本稿では、WiresharkというOSSがなぜここまで広く支持され、成長し続けてきたのか。その裏側にある「コミュニティの力」にフォーカスし、OSSの文化が持つ継承力と拡張性を考察します。そしてその文化が、SysdigやFalco、Stratosharkといった次世代OSSにもどのように引き継がれているのか──未来を見据えた“OSS文化の連鎖”を紐解いていきます。
2025年、新たなツール「Stratoshark」のリリースとともに、Sysdigは“Wireshark for the Cloud”を掲げて再び注目を集める。Sysdig Communityの立ち上げと、Falcoとの連携、今後のOSS活用戦略、そしてCNAPPとしての進化。オープンテクノロジーによるセキュリティの未来像を語る最終回です。
はじめに：点と線がつながる瞬間
2024年、クラウドネイティブの観測とセキュリティの歴史に、新たなマイルストーンが刻まれました。本連載「クラウドの中を“観る力”」では、Wiresharkが築き上げたネットワーク可視化の遺伝子が、どのようにクラウド時代へと継承されてきたかを辿ってきました。
- 第1〜3話： 「パケットを観る」というWiresharkの思想とコミュニティの力。
- 第4話： パケットが見えないクラウド環境において、「システムコールを観る」ことでコンテナ内部を可視化した「Sysdig OSS」。
- 第5話： その観測データに基づき、リアルタイムで脅威を検知するエンジン「Falco」。
私たちは、「観る力（Sysdig）」と「守る力（Falco）」を手に入れました。これらはeBPFという強力な技術を基盤とし、クラウドの深層で起きるあらゆる事象をデータとして捉えることに成功しました。しかし、データが揃うだけでは不十分な場面があります。
それは、「なぜ、その事象が起きたのか？」という因果関係を人間が直感的に理解し、迅速にアクションを起こす必要がある場面です。Falcoが「コンテナ内で不審なシェルが起動した」とアラートを上げても、その前後にどのようなファイルアクセスがあり、どのプロセスが影響したのか、その全貌をCLIのログだけで追うのは至難の業です。
クラウドという広大で複雑な深海を探索するためには、高性能なソナー（Sysdig/Falco）だけでなく、そのデータを地図のように映し出す直感的なコックピットが必要です。Wiresharkがネットワークエンジニアにとってのコックピットであったように、クラウドエンジニアにもそれが必要でした。そして登場したのが、「Stratoshark」です。
Wireshark（旧Ethereal）の生みの親であるGerald Combsその人が、WinPCAPの作者でありSysdigの創業者であるLoris Degioanniと再びタッグを組み、作り上げたこのツール。それは単なる新しいソフトウェアの発表ではありません。
「パケット可視化の父」が自らクラウドの世界へとその思想を持ち込んだ、歴史的な合流点なのです。
最終回となる今回は、Gerald Combs自身が「クラウド版Wireshark」として世に送り出したStratosharkの全貌と、それを取り巻く新たなOSSコミュニティの始動について解説していきます。
Stratosharkとは何か？Gerald Combsが描いた“クラウド版Ethereal”
レジェンドが再始動させた「可視化の魂」
「Ethereal（現Wireshark）」を作成し、ネットワークパケット解析の世界標準を作ったGerald Combs。彼がSysdig社のDirector of Open Source Projectsとして参画したとき、一つの大きな問いがありました。
「Wiresharkで培った“深層を観る体験”を、どうすればクラウドネイティブな世界で再現できるか？」
ネットワークが物理ケーブルから仮想空間へ、そしてコンテナ間通信へと変化する中で、パケットキャプチャだけでは追えない事象が増えていました。そこで彼は、Sysdig/Falcoが収集する「システムコール」という新たなデータソースに着目しました。
Stratosharkは、Gerald Combs自身が設計・開発を主導したツールです。彼にとってこれは、かつてEtherealでネットワークの闇に光を当てた行為の再演であり、進化でもあります。Loris Degioanniが基盤技術（eBPF/Sysdig）を提供し、Gerald Combsがそれを人間が理解できる形（UI/UX）へと昇華させる。まさに最強のタッグによって生まれたのがStratosharkなのです。
WiresharkのDNAを完全継承したUI
Stratosharkを起動した瞬間、Wiresharkユーザーは思わずニヤリとするでしょう。
画面構成は、Wiresharkの伝統的な3ペイン表示をそのまま踏襲しています。
- Packet List（Event List）： 時系列に流れるシステムコールの一覧。
- Packet Details（Event Details）： 選択したイベントの引数や環境変数などの詳細な解剖結果。
- Packet Bytes（Raw Data）：生データの内容。
しかし、そこに流れているのはパケットではありません。「open」「execve」「connect」といったシステムコールです。
操作感もWiresharkそのものです。 フィルタバーに proc.name == "nginx" と打ち込めば、Nginxプロセスに関連するイベントだけが抽出されます。「Follow TCP Stream」のように、特定のプロセスIDを右クリックして「Follow Flow」を選べば、そのプロセスの誕生から消滅までの一連のドラマだけを追うことができます。
これは、世界中のエンジニアが持つ「Wiresharkの手癖」が、そのままクラウドのトラブルシューティングに使えることを意味します。学習コストはほぼゼロ。Gerald Combsは、エンジニアのスキルを無駄にせず、新しい領域へ拡張させる道を用意したのです。
“Observability”から“Deep Forensics”へ
GUIだからこそ見える「因果の物語」
「ログで十分ではないか？」という問いに対し、Stratosharkは「文脈（Context）」で答えます。CLIのログは「点」の羅列です。しかし、StratosharkのGUIはそれを「線」と「面」で繋ぎます。 例えば、あるコンテナが突然クラッシュしたとします。
- 時系列グラフ（IO Graph）： クラッシュ直前にファイルI/Oが急増していることを視覚的に発見できる。
- プロセスツリー： そのプロセスが、実は不審な親プロセスからforkされていた事実を階層構造で確認できる。
- 詳細ペイン： 失敗したシステムコールの引数（どのファイルを開こうとして権限エラーになったか）をワンクリックで特定できる。
これにより、「何が起きたか（What）」だけでなく、「なぜ起きたか（Why）」、そして「攻撃者は何をしたかったのか（Intent）」という物語が見えてきます。これこそが、単なる監視（Monitoring）を超えた、深い調査（Deep Forensics）の世界です。
SCAPファイル：クラウドを録画するタイムカプセル
Stratosharkが解析するのは、SysdigやFalcoが出力する「SCAPファイル」です。 これは、WiresharkにおけるPCAPファイルに相当します。
インシデント発生時、Falcoが自動的にその前後のシステムコールをSCAP形式で保存します。エンジニアは後からそのファイルをStratosharkで開くだけで、事件当時のカーネルの状態、環境変数、ユーザーID、実行されたコマンドライン引数までを、あたかもその場にいるかのように「再生」できます。
「証拠はSCAPにある（Pcap or it didn't happenならぬ、Scap or it didn't happen）」。 この文化が定着すれば、クラウドのセキュリティ対応は劇的に効率化されるでしょう。
Sysdig Open Source Communityの設立
ツールだけでなく「人」をつなぐ
第6話のもう一つのテーマは、これらのツールを支える「コミュニティ」の進化です。Sysdig社は、Falco、Sysdig OSS、そしてStratosharkといったOSSプロジェクトを統合的に支援する新たな拠点として、「Sysdig Open Source Community」を設立しました。
https://community.sysdig.com/
これは単なるサポートフォーラムではありません。 Wiresharkのコミュニティがそうであったように、「未知のプロトコル（脅威）を解析したい」という純粋な知的好奇心を持つハッカー、セキュリティリサーチャー、運用エンジニアが集まる場です。
エコシステムの統合
このコミュニティの設立により、以下のエコシステムが有機的につながります。
- 観測（Sysdig OSS）： カーネルの深層からデータを汲み上げる。
- 検知（Falco）： 汲み上げたデータから脅威をリアルタイムで判別する。
- 解析（Stratoshark）： 検知された脅威の詳細をGUIで解剖する。
- 共有（Community）： 新たな検知ルールや解析手法を世界中で共有する。
Wiresharkが成功した理由は、誰でも新しいプロトコル解読プラグイン（Dissector）を書けたからでした。同様に、Falco/Stratosharkのエコシステムも、世界中のエンジニアが「新しい脅威の定義」や「解析プラグイン」を持ち寄ることで、特定のベンダーに依存しない、人類共通のセキュリティ知見データベースへと進化していくでしょう。
おわりに：OSSが切り拓く未来
本連載「クラウドの中を“観る力”」を通じて、私たちは一つの長い旅路を辿ってきました。
1990年代、Gerald CombsがEtherealを開発し、ネットワークの透明性を勝ち取った時代。 2010年代、Loris DegioanniがSysdigを開発し、コンテナの透明性を勝ち取った時代。 そして2020年代、彼らが手を組み、FalcoとStratosharkによって「クラウドの深層」を誰もが観て、守れる時代が到来しました。
技術は進化しましたが、根底にある思想は変わりません。 それは、「ブラックボックスを許さない」というエンジニアの執念であり、「中身が見えれば、理解できる。理解できれば、制御できる」という希望です。
クラウドセキュリティは、もはや一部の専門家や高価な商用ツールだけの特権ではありません。OSSの力によって、誰もがクラウドの中を“観る力”を手にすることができるのです。
さあ、次はあなたがこのツールを手にする番です。 Stratosharkをダウンロードし、あなたのKubernetesクラスタの中を覗いてみてください。そこには、パケットの海と同じくらい美しく、複雑で、魅力的なシステムコールの世界が広がっているはずです。
さあ、Stratosharkを起動しよう
「難しそう」と身構える必要はありません。Gerald Combsが目指したのは、誰もが直感的に扱えるツールです。セットアップから実際の解析まで、わずか5分で体験できるガイドを用意しました。
あなたのPCで、クラウドの深層が「可視化」される瞬間を体験してみてください。
▼ Stratosharkを5分で使い始める（ハンズオンガイド）
https://www.sysdig.com/jp/blog/up-and-running-with-stratoshark-in-5-minutes
（連載完）
