Wiresharkを使用してパケットをキャプチャ、フィルタリング、および検査する方法
以前はEtherealと呼ばれていたネットワーク解析ツールであるWiresharkは、パケットをリアルタイムでキャプチャし、人間が読める形式で表示します。 Wiresharkには、フィルタ、カラーコーディング、およびネットワークトラフィックを詳しく調べて個々のパケットを検査することを可能にするその他の機能が含まれています。.
このチュートリアルでは、パケットのキャプチャ、フィルタリング、および検査の基本について説明します。 Wiresharkを使用して、疑わしいプログラムのネットワークトラフィックの調査、ネットワーク上のトラフィックフローの分析、またはネットワークの問題のトラブルシューティングを行うことができます。.
Wiresharkを入手する
Wireshark for WindowsまたはmacOSは公式サイトからダウンロードできます。 Linuxまたは他のUNIX系システムを使用している場合は、おそらくそのパッケージリポジトリにWiresharkがあります。たとえば、Ubuntuを使用している場合は、UbuntuソフトウェアセンターにWiresharkがあります。.
ちょっとした警告：多くの組織は、ネットワーク上でWiresharkや同様のツールを許可していません。許可がない限り、職場ではこのツールを使用しないでください。.
パケットのキャプチャ
Wiresharkをダウンロードしてインストールしたら、それを起動して[キャプチャ]の下にあるネットワークインターフェイスの名前をダブルクリックすると、そのインターフェイスでパケットのキャプチャを開始できます。たとえば、ワイヤレスネットワーク上のトラフィックをキャプチャしたい場合は、ワイヤレスインターフェイスをクリックします。 [キャプチャ]> [オプション]をクリックして高度な機能を設定できますが、現時点ではこれは必要ありません。.
インターフェースの名前をクリックするとすぐに、パケットがリアルタイムで現れ始めます。 Wiresharkはあなたのシステムとの間でやり取りされる各パケットをキャプチャします.
無差別モードを有効にしていると（デフォルトで有効になっています）、ネットワークアダプタ宛てのパケットだけでなく、ネットワーク上の他のすべてのパケットも表示されます。無差別モードが有効になっているかどうかを確認するには、[キャプチャ]> [オプション]をクリックし、このウィンドウの下部にある[すべてのインターフェイスで無差別モードを有効にする]チェックボックスがアクティブになっている.
トラフィックのキャプチャを停止したい場合は、ウィンドウの左上隅にある赤い[停止]ボタンをクリックしてください。.
カラーコーディング
パケットはさまざまな色で強調表示されているでしょう。 Wiresharkは一目でトラフィックの種類を識別するのに役立つように色を使用します。デフォルトでは、ライトパープルはTCPトラフィック、ライトブルーはUDPトラフィック、そしてブラックはエラーのあるパケットを識別します。.
カラーコードの意味を正確に表示するには、[表示]> [カラーリングルール]をクリックします。必要に応じて、ここから色付けルールをカスタマイズして変更することもできます。.
サンプルキャプチャー
あなた自身のネットワーク上で検査するのがおもしろいことが何もなければ、Wiresharkのwikiがあなたをカバーしています。 Wikiには、ロードして検査できるサンプルのキャプチャー・ファイルのページがあります。 File> Open in Wiresharkをクリックし、ダウンロードしたファイルを参照して開きます。.
Wiresharkに独自のキャプチャを保存して後で開くこともできます。キャプチャしたパケットを保存するには、File> Saveの順にクリックします。.
パケットのフィルタリング
自宅への電話をかけたときにプログラムが送信するトラフィックなど、特定のものを検査しようとしている場合は、ネットワークを使用している他のすべてのアプリケーションを閉じて、トラフィックを絞り込むことができます。それでも、あなたはふるいにかけるべき大量のパケットを持っているでしょう。それがWiresharkのフィルタが登場するところです.
フィルタを適用する最も基本的な方法は、ウィンドウ上部のフィルタボックスにフィルタを入力して[適用]をクリックする（またはEnterキーを押す）ことです。たとえば、「dns」と入力すると、DNSパケットだけが表示されます。あなたがタイプし始めるとき、Wiresharkはあなたがあなたのフィルタをオートコンプリートするのを助けます.
[分析]> [フィルタの表示]をクリックして、Wiresharkに含まれているデフォルトのフィルタの中からフィルタを選択することもできます。ここから、独自のカスタムフィルタを追加して保存し、将来簡単にアクセスできるようにすることができます。.
Wiresharkのディスプレイフィルタリング言語の詳細については、公式のWiresharkドキュメンテーションのBuilding display filter expressionsページを読んでください。.
あなたができるもう一つの面白いことはパケットを右クリックしてFollow> TCP Streamの順に選択することです.
クライアントとサーバー間の完全なTCP会話が表示されます。必要に応じて、[フォロー]メニューの[他のプロトコル]をクリックして、他のプロトコルの完全な会話を表示することもできます。.
ウィンドウを閉じると、フィルタが自動的に適用されていることがわかります。 Wiresharkは会話を構成するパケットをあなたに見せています.
パケットの検査
パケットをクリックして選択し、詳細を表示するために掘り下げることができます。.
ここからフィルタを作成することもできます - 詳細の1つを右クリックし、それに基づいてフィルタを作成するためにApply as Filterサブメニューを使用してください。.
Wiresharkは非常に強力なツールです、そしてこのチュートリアルはあなたがそれを使って何ができるかの表面を掻いています。専門家はこれを使用してネットワークプロトコルの実装をデバッグし、セキュリティの問題を調べ、ネットワークプロトコルの内部を検査します。.
より詳しい情報は、Wiresharkの公式ユーザガイドやWiresharkのWebサイトの他のドキュメントページにあります。.
