Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.
Message Analyzer 再入門 【1】
Murachi Akira aka hebikuzure
This work is licensed under a Creative Commons Attribution-NonCommer...
About me
 村地 彰 aka hebikuzure
 http://www.murachi.net/
 http://www.hebikuzure.com/
 https://hebikuzure.wordpress.com/
...
Microsoft のパケットキャプチャ ツール
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #323
 Network Monitor 2.x
 MicrosoftSyst...
Microsoft Message Analyzer の入手と情報
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #324
 ダウンロード ページ
http://www.micr...
ETW = Event Tracing for Windows
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #325
 Windows のコンポーネントに対してトレース ログを...
ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #326
http://blogs.msdn.com/b/jpwdkblog/archive/2011/12/27/...
ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #327
トレース採取対象の
ドライバー
アプリケーション
トレース有効化/無効化
ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #328
トレース データの配信
セッションの作成/管理
ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #329
トレースの配信
ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3210
Message Analyzer
ETW で「ネットワーク トレース」
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3211
 プロバイダ「Microsoft-Windows-NDIS-
PacketCapt...
NDIS
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3212
 Network Driver Interface Specification
 %SystemRoot%S...
NDIS-PacketCapture プロバイダの問題
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3213
 Windows 7 以前では利用できない
 プロバイダを有効...
Message Analyzer でパケット キャプチャ
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3214
1. Message Analyzer を起動
2. [Star...
パケット キャプチャの開始 – 方法1
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3215
パケット キャプチャの開始 – 方法2
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3216
– 方法1
パケット キャプチャの開始 – 方法2 (2)
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3217
– 方法1
パケット キャプチャの開始 – 方法2 (3)
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3218
– 方法1
パケット キャプチャの停止
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3219
 ツールバーの [Stop] ボタン
 [Session] メニュー – [Stop]
データの保存
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3220
 ツールバーの [Save] ボタン
 [File] メニュー – [Save]
 [Save as]...
他のコントローラを使う
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3221
 Message Analyzer 以外の ETW コントローラ
 logman コマンド
...
参考資料
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3222
 ETW へのご招待
http://blogs.msdn.com/b/tsmatsuz/archive/200...
Upcoming SlideShare
Loading in …5
×

Message Analyzer 再入門【1】

3,086 views

Published on

2015/9/28 開催・第32回「ネットワーク パケットを読む会(仮)」での発表スライド。Microsoft Message Analyzer についての解説シリーズ第1回です。
Microsoft のネットワーク パケット キャプチャ ツールの歴史、Message Analyzer の動作原理、ETW の動作原理について解説しています。

Published in: Technology
  • Be the first to comment

Message Analyzer 再入門【1】

  1. 1. Message Analyzer 再入門 【1】 Murachi Akira aka hebikuzure This work is licensed under a Creative Commons Attribution-NonCommercial-NoDerivatives 4.0 International License.
  2. 2. About me  村地 彰 aka hebikuzure  http://www.murachi.net/  http://www.hebikuzure.com/  https://hebikuzure.wordpress.com/  Microsoft MVP(Internet Explorer)Apr. 2011 ~ 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #322
  3. 3. Microsoft のパケットキャプチャ ツール 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #323  Network Monitor 2.x  MicrosoftSystems ManagementServer (SMS) に付属していた ツール  機能限定版が無償提供されていた  Windows Vista 以降では利用できない  Network Monitor 3.x  Windows Vista 以降で利用可能 (Windows 10 は NG?)  フル機能版が無償提供された  Microsoft Message Analyzer  Network Monitor の後継  「パケット キャプチャ ツール」ではない  ETW ログ解析ツール
  4. 4. Microsoft Message Analyzer の入手と情報 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #324  ダウンロード ページ http://www.microsoft.com/en- us/download/details.aspx?id=44226  最新版は ver. 1.3.1 (2015/7/30 リリース)  Message Analyzer Blog http://blogs.technet.com/b/messageanalyzer/  サポート フォーラム https://social.msdn.microsoft.com/Forums/windowsdes ktop/ en-us/home?forum=messageanalyzer
  5. 5. ETW = Event Tracing for Windows 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #325  Windows のコンポーネントに対してトレース ログを出力 させる仕組み  Window のコンポーネント以外のカーネルモード/ユー ザーモード ドライバー、ユーザーモード アプリケーション でも実装可能  Checked Build によるデバッグ プリントより高速でモ ジュール本来の動作に与える影響が少ない  動的な有効化/無効化が可能  出力されるログはバイナリ データ  表示/解析にはツールが必要
  6. 6. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #326 http://blogs.msdn.com/b/jpwdkblog/archive/2011/12/27/event-tracing-for-windows-etw.aspx より
  7. 7. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #327 トレース採取対象の ドライバー アプリケーション トレース有効化/無効化
  8. 8. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #328 トレース データの配信 セッションの作成/管理
  9. 9. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #329 トレースの配信
  10. 10. ETW の仕組み 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3210 Message Analyzer
  11. 11. ETW で「ネットワーク トレース」 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3211  プロバイダ「Microsoft-Windows-NDIS- PacketCapture」のトレースを採取する  Windows 8 以降から利用可能なプロバイダ  Network Monitor と同等のパケット キャプチャが可能
  12. 12. NDIS 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3212  Network Driver Interface Specification  %SystemRoot%System32DriversNdis.sys http://blogs.msdn.com/b/jpwdkblog/archive/2010/08/31/windows-network-driver.aspx
  13. 13. NDIS-PacketCapture プロバイダの問題 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3213  Windows 7 以前では利用できない  プロバイダを有効にするために管理者権限が必要 ※ Message Analyzer から利用する場合、Message Analyzer を「管理者として実行」する必要がある
  14. 14. Message Analyzer でパケット キャプチャ 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3214 1. Message Analyzer を起動 2. [Start Local Trace] をクリック または 1. Message Analyzer を起動 2. [New Session] をクリック 3. [Live Trace] をクリック 4. [Trace Scenario] で [Local Network Interface] を選 択 5. [Start] をクリック
  15. 15. パケット キャプチャの開始 – 方法1 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3215
  16. 16. パケット キャプチャの開始 – 方法2 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3216 – 方法1
  17. 17. パケット キャプチャの開始 – 方法2 (2) 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3217 – 方法1
  18. 18. パケット キャプチャの開始 – 方法2 (3) 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3218 – 方法1
  19. 19. パケット キャプチャの停止 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3219  ツールバーの [Stop] ボタン  [Session] メニュー – [Stop]
  20. 20. データの保存 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3220  ツールバーの [Save] ボタン  [File] メニュー – [Save]  [Save as] で cap 形式 (Microsoft Network Monitor 形式) で 保存できる ⇒ Wireshark で開けます
  21. 21. 他のコントローラを使う 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3221  Message Analyzer 以外の ETW コントローラ  logman コマンド  パフォーマンス モニタ (perfmon.exe) – [データ コレクター セット] – [イベント トレース セッション]  いずれも「管理者として実行」が必要
  22. 22. 参考資料 2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3222  ETW へのご招待 http://blogs.msdn.com/b/tsmatsuz/archive/2008/01/2 3/etw.aspx  Event Tracing for Windows (ETW) http://blogs.msdn.com/b/jpwdkblog/archive/2011/12/ 27/event-tracing-for-windows-etw.aspx  FAQ: Common Questions for ETW and Windows Event Log https://social.msdn.microsoft.com/Forums/ja-JP/a1aa1350- 41a0-4490-9ae3-9b4520aeb9d4/faq-common-questions- for-etw-and-windows-event-log  Event Tracing for Windows (ETW) Simplified https://support.microsoft.com/en-us/kb/2593157

×