1. Windows の標準コマンドで
パケット キャプチャ
hebikuzure aka Murachi Akira
This material provided by CC BY-NC-ND 4.0. See http://creativecommons.org/licenses/by-nc-nd/4.0/

2. About me
• 村地 彰 aka hebikuzure
• http://www.murachi.net/
• http://www.hebikuzure.com/
• https://hebikuzure.wordpress.com/
• MicrosoftMVP(InternetExplorer)Apr.2011～
2015/4/27 2© 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27

3. 標準機能でパケット キャプチャ
• UNIX / Linux 系なら
TCPDUMP
• Windows では?
2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 3

4. Windows なら netsh
• netsh コマンドでパケット キャプチャ
• Windows 7 / Windows Server 2008 R2
以降で機能追加
2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 4

5. 書式
netsh trace start [[scenario=]< scenario1, scenario2>]
[[globalKeywords=]keywords] [[globalLevel=]level]
[[capture=]yes|no] [[report=]yes|no]
[[persistent=]yes|no] [[traceFile=]path¥filename]
[[maxSize=]filemaxsize][fileMode=]single|circular|append]
[[overwrite=]yes|no][[correlation=]yes|no|disabled][capturefilters]
[[provider=]providerIdOrName][[keywords=]keywordMaskOrSet]
[[level=]level] [[provider=]provider2IdOrName]
[[keywords=]keyword2MaskOrSet] [[level=]level2] ...
netsh trace start /? でヘルプ表示
2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 5

6. キャプチャの開始
• 管理者コマンド プロンプトを起動
• netsh trace start capture=yes
• ・・・キャプチャ取得・・・
• netsh trace stop でキャプチャ終了
2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 6

7. キャプチャ データの保存
• キャプチャ データは etl ファイルに記録
– etl : event trace log
• 既定の保存場所
%LOCALAPPDATA%¥temp¥netTraces¥netTrace.etl
• 保存場所の変更はstart のオプションで
traceFile=(etl ファイルのパスとファイル名)
2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 7

8. キャプチャ データの解析
• ネットワーク キャプチャの etl を読める
ツール
–Microsoft Message Analyzer
–Microsoft Network Monitor 3.3 / 3.4
• Wireshark で解析する場合
• Microsoft Message Analyzer で開き、
cap 形式にエクスポート
2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 8

9. 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 9

10. DEMO
2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 10

11. 参考情報
• ネットワーク診断とトレース
https://technet.microsoft.com/ja-jp/library/ee624046(v=ws.10).aspx
• The Cable Guy: Windows 7 のネットワーク診断とトレース
https://technet.microsoft.com/ja-jp/magazine/ff625276.aspx
• Capture a Network Trace without installing anything (& capture a network trace of
a reboot)
http://blogs.msdn.com/b/canberrapfe/archive/2012/03/31/capture-a-network-
trace-without-installing-anything-works-for-shutdown-and-restart-too.aspx
• So you want to use Wireshark to read the netsh trace output .etl?
http://blogs.technet.com/b/yongrhee/archive/2013/08/16/so-you-want-to-use-
wireshark-to-read-the-netsh-trace-output-etl.aspx
• Network tracing (packet sniffing) built-in to Windows Server 2008 R2 and Windows
Server 2012.
http://blogs.technet.com/b/yongrhee/archive/2012/12/01/network-tracing-
packet-sniffing-built-in-to-windows-server-2008-r2-and-windows-server-2012.aspx
2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 11