WindowsインスタンスのIMDS通信をIMDSパケットアナライザーの代わりにnetsh traceでトレースして分析してみた

[CmdletBinding()]
param()

try {
    # Get current timestamp
    $timestamp = Get-Date -Format "yyyyMMdd-HHmmss"

    # Get instance information
    $hostname = $env:COMPUTERNAME
    $instanceId = "unknown"
    try {
        $token = Invoke-RestMethod -Uri "http://169.254.169.254/latest/api/token" -Method PUT -Headers @{"X-aws-ec2-metadata-token-ttl-seconds" = "21600"} -TimeoutSec 5 -ErrorAction Stop
        $instanceId = Invoke-RestMethod -Uri "http://169.254.169.254/latest/meta-data/instance-id" -Headers @{"X-aws-ec2-metadata-token" = $token} -TimeoutSec 5 -ErrorAction Stop
    }
    catch {
        Write-Output "[WARN] Failed to get instance ID. Using hostname instead: $_"
        $instanceId = $hostname
    }

    Write-Output "================================================"
    Write-Output "IMDS v2 Network Trace Start"
    Write-Output "================================================"
    Write-Output "Start Time: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')"
    Write-Output "Instance ID: $instanceId"
    Write-Output "Hostname: $hostname"
    Write-Output ""

    # Check if there's an existing trace running
    $existingTrace = netsh trace show status
    $traceStatusString = $existingTrace -join " "

    if ($traceStatusString -notmatch "There is no trace session currently in progress" -and $traceStatusString -notmatch "not running") {
        Write-Output "[WARN] Existing trace is running. Stopping it automatically..."
        $stopResult = netsh trace stop
        Start-Sleep -Seconds 2
        Write-Output "[INFO] Existing trace stopped"
        Write-Output ""
    }

    # Start network trace
    Write-Output "Starting network trace..."
    $traceResult = netsh trace start capture=yes maxsize=500 overwrite=yes IPv4.Address=169.254.169.254

    if ($LASTEXITCODE -eq 0) {
        Write-Output ""
        Write-Output "[SUCCESS] Network trace started successfully"
        Write-Output "Trace file will be saved at:"
        Write-Output "C:\Users\$env:USERNAME\AppData\Local\Temp\NetTraces\NetTrace.etl"
        Write-Output ""
        Write-Output "To stop the trace, run stop-imds-trace-v2-en.ps1"

        # Save trace information
        $infoDir = "C:\IMDSTrace"
        if (!(Test-Path $infoDir)) {
            New-Item -ItemType Directory -Path $infoDir -Force | Out-Null
        }

        @{
            StartTime = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
            InstanceId = $instanceId
            Hostname = $hostname
        } | ConvertTo-Json | Out-File -FilePath "$infoDir\current-trace-info.json" -Encoding UTF8

        Write-Output ""
        Write-Output "[INFO] Trace information saved to: $infoDir\current-trace-info.json"
    }
    else {
        Write-Output "[ERROR] Failed to start network trace"
        Write-Output $traceResult
        exit 1
    }
}
catch {
    Write-Output "[ERROR] An error occurred: $_"
    Write-Output $_.ScriptStackTrace
    exit 1
}

$S3BucketName = "your-actual-bucket-name"  # ← ここにあなたのバケット名を入力
$S3KeyPrefix = "imds-traces"
$KeepLocalFiles = $false
$Etl2PcapngPath = "C:\Tools\etl2pcapng.exe"

try {
    Write-Output "================================================"
    Write-Output "IMDS v2 トレース停止＋S3アップロード"
    Write-Output "================================================"
    Write-Output "停止時刻: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')"
    Write-Output ""

    # インスタンス情報を取得
    $instanceId = Invoke-RestMethod -Uri "http://169.254.169.254/latest/meta-data/instance-id" -Headers @{"X-aws-ec2-metadata-token" = (Invoke-RestMethod -Uri "http://169.254.169.254/latest/api/token" -Method PUT -Headers @{"X-aws-ec2-metadata-token-ttl-seconds" = "21600"})} -TimeoutSec 5

    Write-Output "インスタンスID: $instanceId"
    Write-Output "S3バケット: $S3BucketName"
    Write-Output ""

    # トレースの状態を確認
    $traceStatus = netsh trace show status
    $traceStatusString = $traceStatus -join " "

    if ($traceStatusString -match "There is no trace session currently in progress" -or $traceStatusString -match "not running") {
        Write-Warning "実行中のトレースがありません"
        exit 1
    }

    # トレースを停止
    Write-Output "トレースを停止しています..."
    $stopResult = netsh trace stop

    # 停止結果から出力ファイルのパスを取得
    $etlFilePath = ""
    foreach ($line in $stopResult) {
        if ($line -match "File location\s*=\s*(.+)") {
            $etlFilePath = $matches[1].Trim()
            break
        }
    }

    if ([string]::IsNullOrEmpty($etlFilePath) -or !(Test-Path $etlFilePath)) {
        Write-Error "トレースファイルが見つかりません"
        exit 1
    }

    Write-Output "[成功] トレースが停止されました"
    Write-Output "ETLファイル: $etlFilePath"

    # ファイルサイズを確認
    $etlFile = Get-Item $etlFilePath
    Write-Output "ETLファイルサイズ: $([math]::Round($etlFile.Length / 1MB, 2)) MB"
    Write-Output ""

    # 作業ディレクトリに移動
    $workDir = Split-Path $etlFilePath -Parent
    Set-Location $workDir
    Write-Output "作業ディレクトリ: $workDir"

    # CABファイルが存在する場合は解凍
    $cabFilePath = $etlFilePath.Replace(".etl", ".cab")
    if (Test-Path $cabFilePath) {
        Write-Output "CABファイルを解凍しています..."
        expand -r $cabFilePath /f:processes.txt $workDir
        Write-Output "[成功] processes.txt を抽出しました"
    }

    # タイムスタンプを生成
    $timestamp = Get-Date -Format "yyyyMMdd-HHmmss"

    # etl2pcapngが利用可能か確認し、なければダウンロード
    $pcapngFilePath = ""
    if (!(Test-Path $Etl2PcapngPath)) {
        Write-Output "etl2pcapng.exe が見つかりません。ダウンロードを試みます..."

        # ツールディレクトリを作成
        $toolDir = Split-Path $Etl2PcapngPath -Parent
        if (!(Test-Path $toolDir)) {
            New-Item -ItemType Directory -Path $toolDir -Force | Out-Null
        }

        # GitHubから最新版をダウンロード
        try {
            $downloadUrl = "https://github.com/microsoft/etl2pcapng/releases/latest/download/etl2pcapng.exe"
            Write-Output "ダウンロード元: $downloadUrl"

            [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
            Invoke-WebRequest -Uri $downloadUrl -OutFile $Etl2PcapngPath -UseBasicParsing

            if (Test-Path $Etl2PcapngPath) {
                Write-Output "[成功] etl2pcapng.exe をダウンロードしました"
            }
        }
        catch {
            Write-Warning "etl2pcapng.exe のダウンロードに失敗しました: $_"
            Write-Warning "ETLファイルをそのままアップロードします"
        }
    }

    if (Test-Path $Etl2PcapngPath) {
        Write-Output ""
        Write-Output "ETLファイルをPCAPNG形式に変換しています..."

        $pcapngFileName = "NetTrace-${instanceId}-${timestamp}.pcapng"
        $pcapngFilePath = Join-Path $workDir $pcapngFileName

        & $Etl2PcapngPath $etlFilePath $pcapngFilePath

        if (Test-Path $pcapngFilePath) {
            $pcapngFile = Get-Item $pcapngFilePath
            Write-Output "[成功] PCAPNG変換完了"
            Write-Output "PCAPNGファイル: $pcapngFileName"
            Write-Output "PCAPNGサイズ: $([math]::Round($pcapngFile.Length / 1MB, 2)) MB"
        }
        else {
            Write-Warning "PCAPNG変換に失敗しました。ETLファイルをアップロードします"
        }
    }
    else {
        Write-Warning "ETLファイルをそのままアップロードします"
    }

    Write-Output ""
    Write-Output "S3にファイルをアップロードしています..."

    # S3キーのプレフィックスを準備
    $s3KeyBase = "${S3KeyPrefix}/${instanceId}/${timestamp}"

    # アップロード結果を格納
    $uploadedFiles = @()

    # PCAPNGファイルをアップロード（存在する場合）
    if (![string]::IsNullOrEmpty($pcapngFilePath) -and (Test-Path $pcapngFilePath)) {
        $pcapngS3Key = "${s3KeyBase}/$(Split-Path $pcapngFilePath -Leaf)"
        Write-S3Object -BucketName $S3BucketName -File $pcapngFilePath -Key $pcapngS3Key
        $uploadedFiles += "s3://$S3BucketName/$pcapngS3Key"
        Write-Output "[アップロード] PCAPNG: $pcapngS3Key"
    }
    else {
        # PCAPNGがない場合はETLファイルをアップロード
        $etlFileName = "NetTrace-${instanceId}-${timestamp}.etl"
        $etlNewPath = Join-Path $workDir $etlFileName
        Copy-Item $etlFilePath $etlNewPath

        $etlS3Key = "${s3KeyBase}/$etlFileName"
        Write-S3Object -BucketName $S3BucketName -File $etlNewPath -Key $etlS3Key
        $uploadedFiles += "s3://$S3BucketName/$etlS3Key"
        Write-Output "[アップロード] ETL: $etlS3Key"
    }

    # processes.txtをアップロード（存在する場合）
    $processesFile = Join-Path $workDir "processes.txt"
    if (Test-Path $processesFile) {
        $processesS3Key = "${s3KeyBase}/processes.txt"
        Write-S3Object -BucketName $S3BucketName -File $processesFile -Key $processesS3Key
        $uploadedFiles += "s3://$S3BucketName/$processesS3Key"
        Write-Output "[アップロード] Processes: $processesS3Key"
    }

    # トレース情報ファイルを作成してアップロード
    $infoFileName = "trace-info.txt"
    $infoFilePath = Join-Path $workDir $infoFileName
    @"
=== IMDS v2 Trace Information ===
Instance ID: $instanceId
Trace Stop Time: $(Get-Date -Format "yyyy-MM-dd HH:mm:ss")
Original ETL Size: $([math]::Round($etlFile.Length / 1MB, 2)) MB
Converted to PCAPNG: $(if($pcapngFilePath -and (Test-Path $pcapngFilePath)){"Yes"}else{"No"})

Uploaded Files:
$($uploadedFiles -join "`n")

Download Commands:
$($uploadedFiles | ForEach-Object { "aws s3 cp `"$_`" ." } | Out-String)
"@ | Out-File -FilePath $infoFilePath -Encoding UTF8

    $infoS3Key = "${s3KeyBase}/$infoFileName"
    Write-S3Object -BucketName $S3BucketName -File $infoFilePath -Key $infoS3Key
    Write-Output "[アップロード] Info: $infoS3Key"

    Write-Output ""
    Write-Output "[成功] すべてのファイルがS3にアップロードされました"
    Write-Output ""
    Write-Output "================================================"
    Write-Output "アップロードされたファイル:"
    foreach ($file in $uploadedFiles) {
        Write-Output "  $file"
    }
    Write-Output ""
    Write-Output "ダウンロードコマンド:"
    Write-Output "aws s3 sync `"s3://$S3BucketName/$s3KeyBase/`" ."
    Write-Output "================================================"

    # ローカルファイルのクリーンアップ
    if (!$KeepLocalFiles) {
        Write-Output ""
        Write-Output "ローカルファイルをクリーンアップしています..."

        # 作業ディレクトリ内のトレース関連ファイルを削除
        Remove-Item "$workDir\NetTrace.*" -Force -ErrorAction SilentlyContinue
        Remove-Item "$workDir\processes.txt" -Force -ErrorAction SilentlyContinue
        if ($pcapngFilePath) { Remove-Item $pcapngFilePath -Force -ErrorAction SilentlyContinue }
        Remove-Item $infoFilePath -Force -ErrorAction SilentlyContinue

        Write-Output "[完了] ローカルファイルを削除しました"
    }
    else {
        Write-Output ""
        Write-Output "[情報] ローカルファイルは保持されます"
        Write-Output "保存場所: $workDir"
    }

    Write-Output ""
    Write-Output "[完了] すべての処理が正常に終了しました"
}
catch {
    Write-Error "エラーが発生しました: $_"
    exit 1
}