Wiresharkでパケットをキャプチャして分析する - コードで学ぶネットワーク10日目

• ネットワーク障害への対処
  インターネットが遅い理由や、特定のサービスに接続できない原因を見つけるのに役立ちます。
• プロトコルの学習
  TCPハンドシェイクの流れや、HTTPのリクエストとレスポンスの構造など、理論で学んだ動作を実際に確認できます。
• セキュリティ分析
  不審な通信やマルウェアの活動を検知し、分析するために使えます。
• 性能分析
  遅延やデータ転送量を測って、ネットワークの性能を評価し、改善点を見つけます。

1. 公式サイトを開く
   www.wireshark.org↗ にアクセスします。
2. ダウンロード
   利用するOSに合った最新の安定版をダウンロードします。
3. インストール
   ダウンロードしたインストーラーを起動し、案内に従います。
   • Windowsの場合
     インストール中に、パケットキャプチャ用ライブラリのNpcap（旧版ではWinPcap）を併せて入れるオプションが出ます。Wiresharkを正しく動かすために必要で、通常は最初から選択されています。
   • macOSの場合
     インストール後の初回起動時に、権限についての案内が出る場合があります。案内に従って必要な権限を設定します。
     また、ChmodBPFをインストールしてパケットキャプチャの権限を付与します。アプリ内の項目をクリックしてインストールできます。

1. ネットワークインターフェースを選ぶ
   • Wiresharkを起動すると、EthernetやWi-Fiなど、コンピューターのネットワークインターフェースが並びます。
   • インターネットにつながり、通信が発生しているものを選びます。わからなければ、名前の横に表示される通信量のグラフが活発に動いているものを選びます。
   • インターフェースをダブルクリックするか、選択して上部の青いサメのひれのアイコン（Start capturing packets）を押すと、キャプチャが始まります。
2. キャプチャを開始・停止する
   • キャプチャを始めると、多数のパケットがリアルタイムで表示されます。
   • 必要なデータを集めたら、赤い四角のアイコン（Stop capturing packets）を押して止めます。
3. Wiresharkの画面構成を見る

   取得したパケットの画面は、通常、次の3領域に分かれます。
   • パケット一覧（Packet List Pane）
     パケットが時系列に1行ずつ表示されます。番号、時刻、送信元と宛先のIPアドレス、プロトコル、長さ、情報の概要を確認できます。
   • パケット詳細（Packet Details Pane）
     一覧でパケットを選ぶと、Ethernetヘッダー、IPヘッダー、TCPヘッダー、HTTPデータなど、層ごとの情報がツリーで表示されます。プロトコルの項目を展開して詳しい値を確認できます。
   • パケットのバイト列（Packet Bytes Pane）
     選んだパケットの実データを16進数とASCII文字で表示します。詳細画面で項目を選ぶと対応箇所が強調表示され、実データと照らし合わせられます。
4. フィルターを使う
   • パケットが多すぎると目的の情報を探しにくくなります。*表示フィルター（Display Filter）*を使うと、条件に合うパケットに絞れます。
   • 上部のフィルター欄に条件を入力し、Enterを押します。
   • よく使うフィルター
     • ip.addr == 192.168.0.1 は、送信元か宛先のIPアドレスが 192.168.0.1 のパケットです。
     • tcp.port == 80 は、送信元か宛先のTCPポートが80のパケットです。主にHTTPで使います。
     • tcp.port == 443 は、送信元か宛先のTCPポートが443のパケットです。主にHTTPSで使います。
     • http は、HTTPを使うパケットです。
     • dns は、DNSを使うパケットです。
     • !(arp) は、ARP以外のすべてのパケットです。感嘆符はnotを表します。
     • tcp.flags.syn == 1 && tcp.flags.ack == 1 は、3ウェイハンドシェイクで使うTCP SYN-ACKパケットです。

1. 準備
   Wiresharkを開き、ネットワークインターフェースを選びます。
   • インターフェースが複数あれば、現在インターネットにつながっているものを選びます。
   分析したい簡単なHTTPサイトのアドレスを用意します。

   HTTPSは暗号化されていて中身の分析が難しいため、ここではHTTPを使います。テスト用のサイトがなければ、HTTPを使う古いサイトを探すか、簡単なローカルWebサーバーを立ててアクセスできます。公開されているHTTPサイトは減りつつあります。

   • 適切なHTTPサイトが見つからない場合は、例示用に予約されている http://example.com や、世界初のWebサイトの http://info.cern.ch を試せます。
2. Wiresharkでキャプチャを開始する
   インターフェースを選び、青いサメのひれのアイコンを押すか、メニューの Capture > Start を選びます。
3. ブラウザでHTTPサイトを開く
   ブラウザで用意したHTTPアドレスを開き、ページが完全に読み込まれるまで待ちます。
4. Wiresharkでキャプチャを止める
   読み込みが終わったらWiresharkに戻り、赤い四角のアイコンを押すか、Capture > Stop を選びます。
5. HTTPパケットに絞る
   フィルター欄に http と入力し、Enterを押してHTTP関連のパケットだけを表示します。
6. パケットを分析する
   • HTTP GETリクエストを探す
     一覧から、クライアント（自分のIPアドレス）がWebサーバーへ送った GET / HTTP/1.1 などの要求を探し、選択します。
   • リクエストの詳細を確認する
     詳細画面の「Hypertext Transfer Protocol」を展開し、リクエスト行（Request Line）や、Host、User-Agent などのヘッダーを確認します。
   • HTTPレスポンスを探す
     サーバーがクライアントに返した HTTP/1.1 200 OK などのレスポンスを探し、選択します。
   • レスポンスの詳細を確認する
     詳細画面でステータス行（Status Line）、ヘッダー、HTMLなどのレスポンス本文があればその内容を確認します。HTMLは「Line-based text data」などの項目に出ることがあります。
   • TCPハンドシェイクを確認する（任意）
     HTTPのフィルターを外し、要求の直前に行われたTCPの3ウェイハンドシェイク（SYN、SYN-ACK、ACK）を探します。フィルターの例は tcp.port == 80 && (tcp.flags.syn == 1 || tcp.flags.ack == 1) です。

• キャプチャファイルの保存と再表示
  パケットを File > Save As で保存し、あとから File > Open で開いて分析できます。
• 統計機能
  Wiresharkの Statistics メニューには各種統計があります。プロトコル階層ごとの分布、通信の組（Conversation）、エンドポイント（Endpoint）の一覧などから、通信全体の傾向を把握できます。
• 色分けルール
  プロトコルや条件に応じて一覧を色分けし、重要なパケットを見分けやすくします。View > Coloring Rules で確認できます。
• 右クリックメニュー
  一覧や詳細画面を右クリックすると、「Follow > TCP Stream」などの分析機能が使えます。「Follow TCP Stream」は、指定したTCP接続全体のデータの流れを再構成して表示します。

次回は、ネットワーク性能を最適化する方法と、ボトルネックへの対処を学びます。

• Wireshark公式サイト（Go Deep.）↗
• Wireshark Wiki - Npcap↗
• GeeksforGeeks - Display Filter Expression Dialog Box in Wireshark↗