Successfully reported this slideshow.

Message Analyzer 再入門【1】

6

Share

Loading in …3
×
1 of 22
1 of 22

Message Analyzer 再入門【1】

6

Share

Download to read offline

2015/9/28 開催・第32回「ネットワーク パケットを読む会(仮)」での発表スライド。Microsoft Message Analyzer についての解説シリーズ第1回です。
Microsoft のネットワーク パケット キャプチャ ツールの歴史、Message Analyzer の動作原理、ETW の動作原理について解説しています。

2015/9/28 開催・第32回「ネットワーク パケットを読む会(仮)」での発表スライド。Microsoft Message Analyzer についての解説シリーズ第1回です。
Microsoft のネットワーク パケット キャプチャ ツールの歴史、Message Analyzer の動作原理、ETW の動作原理について解説しています。

More Related Content

Related Books

Free with a 14 day trial from Scribd

See all

Message Analyzer 再入門【1】

  1. 1. Message Analyzer 再入門 【1】 Murachi Akira aka hebikuzure This work is licensed under a Creative Commons Attribution-NonCommercial-NoDerivatives 4.0 International License.
  2. 2. About me  村地 彰 aka hebikuzure  http://www.murachi.net/  http://www.hebikuzure.com/  https://hebikuzure.wordpress.com/  Microsoft MVP(Internet Explorer)Apr. 2011 ~ 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #322
  3. 3. Microsoft のパケットキャプチャ ツール 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #323  Network Monitor 2.x  MicrosoftSystems ManagementServer (SMS) に付属していた ツール  機能限定版が無償提供されていた  Windows Vista 以降では利用できない  Network Monitor 3.x  Windows Vista 以降で利用可能 (Windows 10 は NG?)  フル機能版が無償提供された  Microsoft Message Analyzer  Network Monitor の後継  「パケット キャプチャ ツール」ではない  ETW ログ解析ツール
  4. 4. Microsoft Message Analyzer の入手と情報 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #324  ダウンロード ページ http://www.microsoft.com/en- us/download/details.aspx?id=44226  最新版は ver. 1.3.1 (2015/7/30 リリース)  Message Analyzer Blog http://blogs.technet.com/b/messageanalyzer/  サポート フォーラム https://social.msdn.microsoft.com/Forums/windowsdes ktop/ en-us/home?forum=messageanalyzer
  5. 5. ETW = Event Tracing for Windows 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #325  Windows のコンポーネントに対してトレース ログを出力 させる仕組み  Window のコンポーネント以外のカーネルモード/ユー ザーモード ドライバー、ユーザーモード アプリケーション でも実装可能  Checked Build によるデバッグ プリントより高速でモ ジュール本来の動作に与える影響が少ない  動的な有効化/無効化が可能  出力されるログはバイナリ データ  表示/解析にはツールが必要
  6. 6. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #326 http://blogs.msdn.com/b/jpwdkblog/archive/2011/12/27/event-tracing-for-windows-etw.aspx より
  7. 7. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #327 トレース採取対象の ドライバー アプリケーション トレース有効化/無効化
  8. 8. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #328 トレース データの配信 セッションの作成/管理
  9. 9. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #329 トレースの配信
  10. 10. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3210 Message Analyzer
  11. 11. ETW で「ネットワーク トレース」 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3211  プロバイダ「Microsoft-Windows-NDIS- PacketCapture」のトレースを採取する  Windows 8 以降から利用可能なプロバイダ  Network Monitor と同等のパケット キャプチャが可能
  12. 12. NDIS 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3212  Network Driver Interface Specification  %SystemRoot%System32DriversNdis.sys http://blogs.msdn.com/b/jpwdkblog/archive/2010/08/31/windows-network-driver.aspx
  13. 13. NDIS-PacketCapture プロバイダの問題 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3213  Windows 7 以前では利用できない  プロバイダを有効にするために管理者権限が必要 ※ Message Analyzer から利用する場合、Message Analyzer を「管理者として実行」する必要がある
  14. 14. Message Analyzer でパケット キャプチャ 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3214 1. Message Analyzer を起動 2. [Start Local Trace] をクリック または 1. Message Analyzer を起動 2. [New Session] をクリック 3. [Live Trace] をクリック 4. [Trace Scenario] で [Local Network Interface] を選 択 5. [Start] をクリック
  15. 15. パケット キャプチャの開始 – 方法1 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3215
  16. 16. パケット キャプチャの開始 – 方法2 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3216 – 方法1
  17. 17. パケット キャプチャの開始 – 方法2 (2) 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3217 – 方法1
  18. 18. パケット キャプチャの開始 – 方法2 (3) 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3218 – 方法1
  19. 19. パケット キャプチャの停止 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3219  ツールバーの [Stop] ボタン  [Session] メニュー – [Stop]
  20. 20. データの保存 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3220  ツールバーの [Save] ボタン  [File] メニュー – [Save]  [Save as] で cap 形式 (Microsoft Network Monitor 形式) で 保存できる ⇒ Wireshark で開けます
  21. 21. 他のコントローラを使う 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3221  Message Analyzer 以外の ETW コントローラ  logman コマンド  パフォーマンス モニタ (perfmon.exe) – [データ コレクター セット] – [イベント トレース セッション]  いずれも「管理者として実行」が必要
  22. 22. 参考資料 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3222  ETW へのご招待 http://blogs.msdn.com/b/tsmatsuz/archive/2008/01/2 3/etw.aspx  Event Tracing for Windows (ETW) http://blogs.msdn.com/b/jpwdkblog/archive/2011/12/ 27/event-tracing-for-windows-etw.aspx  FAQ: Common Questions for ETW and Windows Event Log https://social.msdn.microsoft.com/Forums/ja-JP/a1aa1350- 41a0-4490-9ae3-9b4520aeb9d4/faq-common-questions- for-etw-and-windows-event-log  Event Tracing for Windows (ETW) Simplified https://support.microsoft.com/en-us/kb/2593157

×