Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.
Wireshark の分析機能 
2014/11/28 改定版 
Murachi Akira aka hebikuzure
実践パケット解析――Wiresharkを使った 
トラブルシューティング 
• http://www.oreilly.co.jp/books/9784873113517/ 
• ISBN978-4-87311-351-7 
ネットワークパケッ...
公式サイトからダウンロードしてインス 
トールしましょう 
http://www.wireshark.org/ 
ネットワークパケットを読む会(仮) 2014/11/28 
3
最新バージョンを利用しましょう 
• セキュリティ修正が含まれます 
• 古いバージョンは攻撃対象になります 
Windows 環境では同梱のWinPcap を利用 
しましょう 
ネットワークパケットを読む会(仮) 2014/11/28 ...
WinPcap 4.1 以降のバージョンではNPF 
サービスが自動起動に設定されます 
• [管理者として実行] しなくてもパケットキャプ 
チャができます 
• 自動起動で問題がある場合は、以下のレジストリ 
キーで設定が変更できます 
...
How To Set Up a Capture 
http://wiki.wireshark.org/CaptureSetup 
Security 
http://wiki.wireshark.org/Security 
Platform...
MAC アドレス 
• MAC アドレス⇒ IP アドレスに解決(arp) 
• MAC アドレスの上位3バイト⇒ ベンダー名 
IP アドレス 
• IP アドレス⇒ ホスト名(DNS) 
ポート番号 
• ポート番号⇒プロトコル名(w...
IP アドレスの名前解決のためキャプチャ 
時、キャプチャファイルを開く際にDNS 
アクセスが行われる 
• トラフィックの増加 
• 処理時間の増加 
ポート番号の名前解決ではwell-known 
ports 以外のトラフィックが正し...
[Capture] – [Options] の 
“Name Resolution” セクション 
ネットワークパケットを読む会(仮) 2014/11/28 
9
[View] – [Name Resolution] 
ネットワークパケットを読む会(仮) 2014/11/28 
10
パケットリストで右クリック 
- [Manually Resolve Address] 
ネットワークパケットを読む会(仮) 2014/11/28 
11
[Address] 欄で送信元か相手先かを選択 
[Name] 欄に名前を入力 
[Enable network name resolution] が無効 
の場合は有効にする 
ネットワークパケットを読む会(仮) 2014/11/28 ...
Expert Info Composite 機能 
対話(Conversations) 統計機能 
終端(Endpoint) 統計機能 
プロトコル階層(Protocol Hierarchy) 機能 
IO Graph 機能 
ネット...
個々のパケットの解析の繰り返しでは抽出 
するのが困難な大量のデータ 
特異パケットを自動抽出 
マクロ的分析 
データの可視化 
ネットワークパケットを読む会(仮) 2014/11/28 
14
 [Statistics] – [Summary] 
ネットワークパケットを読む会(仮) 2014/11/28 
15
Expert Info Composite 機能 
[Analyze] – [Expert Info Composite] 
または 
ここをクリック 
ネットワークパケットを読む会(仮) 2014/11/28 
16
特異情報があるパケットが分類されて表示 
される 
ネットワークパケットを読む会(仮) 2014/11/28 
17
不正パケット、チェックサムエラーなど 
• チェックサムエラーはChecksum Offload のため 
で、問題ない場合がほとんど 
ネットワークパケットを読む会(仮) 2014/11/28 
18
キャプチャ時、NIC のChecksum Offload 
を無効にする 
• 基本的にネットワークドライバー側の設定 
• Windows なら[デバイスマネージャー] からネッ 
トワークアダプターのプロパティーを開いて設定 
できる 
...
 [Edit] – [Preference] – [Protocols] 
で[IPv4] (または[IPv6]) の 
[Validate the IPv4 checksum if possible] 
を無効にする 
ネットワークパケット...
sequence number の不一致、Window サ 
イズの問題、fast retransmission など 
ネットワークパケットを読む会(仮) 2014/11/28 
21
再送、重複ACK、特異なTTL 、アプリ 
ケーションレベルのエラーなど 
ネットワークパケットを読む会(仮) 2014/11/28 
22
リクエスト/レスポンスごとに分類 
ネットワークパケットを読む会(仮) 2014/11/28 
23
分析情報のあるすべてのパケットを表示 
ネットワークパケットを読む会(仮) 2014/11/28 
24
対話(Conversations) 統計機能 
終端(Endpoint) 統計機能 
Top N 分析/ パレート分析に 
利用できる 
ネットワークパケットを読む会(仮) 2014/11/28 
25
 [Statistics] – [Conversations] 
ネットワークパケットを読む会(仮) 2014/11/28 
26
送信元/宛先MAC アドレスの組み合わせご 
との情報を表示 
ネットワークパケットを読む会(仮) 2014/11/28 
27
送信元/宛先IP アドレスの組み合わせごと 
に情報を表示 
ネットワークパケットを読む会(仮) 2014/11/28 
28
送信元IP・PORT / 宛先IP・PROT の組み 
合わせごとに情報を表示 
ネットワークパケットを読む会(仮) 2014/11/28 
29
特定のプロトコルだけのリストを作成する 
場合は 
[Statistics] – [Conversation List] 
からプロトコルを選択する 
ネットワークパケットを読む会(仮) 2014/11/28 
30
[Statistics] – [Endpoints]
特定のエンドポイントだけのリストを作成 
する場合は 
[Statistics] – [Endpoint List] 
からプロトコルを選択する 
ネットワークパケットを読む会(仮) 2014/11/28 
32
 [Statistics] – [Protocol Hierarchy] 
ネットワークパケットを読む会(仮) 2014/11/28 
33
IO Graph 機能 
 [Statistics] – [IO Graphs] 
ネットワークパケットを読む会(仮) 2014/11/28 
34
ネットワークパケットを読む会(仮) 2014/11/28 
35
X Axis : X 軸(横軸)の調整 
• Tick interval 
プロット間隔時間の調整 
• Pixels per tick 
プロット表示間隔の調整 
• View as time of day 
• 表示時間フォーマットの変更...
X Axis の設定 
ネットワークパケットを読む会(仮) 2014/11/28 
37
Y Axis : Y 軸(縦軸)の調整 
• Unit 
表示単位の切り替え 
Packet 数, Byte数, Bit数, Advanced 
• Scale 
目盛のスケールの切り替え 
ネットワークパケットを読む会(仮) 2014/11...
Y Axis の設定 
ネットワークパケットを読む会(仮) 2014/11/28 
39
[Graphs] セクション– [Filter] 
Display Filter と同じ書式でフィルタを 
設定する 
[Graph n] ボタンで表示/非表示を切替え 
ネットワークパケットを読む会(仮) 2014/11/28 
40
[Graphs] セクション– [Filter] 
ネットワークパケットを読む会(仮) 2014/11/28 
41
[Save] ボタン 
作成したグラフを画像として保存できる 
ネットワークパケットを読む会(仮) 2014/11/28 
42
TCP Stream Graph 機能 
 [Statistics] 
– [TCP Stream Graph] 
– 作成するグラフの種類を選択 
ネットワークパケットを読む会(仮) 2014/11/28 
43
ネットワークパケットを読む会(仮) 2014/11/28 
44
Graph Control ウィンドウの 
[Graph Type] タブで切り替えできる 
ネットワークパケットを読む会(仮) 2014/11/28 
45
ネットワークパケットを読む会(仮) 2014/11/28 
46
ネットワークパケットを読む会(仮) 2014/11/28 
47
ネットワークパケットを読む会(仮) 2014/11/28 
48
ネットワークパケットを読む会(仮) 2014/11/28 
49
ネットワークパケットを読む会(仮) 2014/11/28 
50
ネットワークパケットを読む会(仮) 2014/11/28 
51
Wireshark User‘s Guide 
http://www.wireshark.org/docs/ 
wsug_html_chunked/ 
Wireshark Wiki 
http://wiki.wireshark.org/Fr...
Upcoming SlideShare
Loading in …5
×

Wireshark入門(2)

12,298 views

Published on

2014/11/28 開催・第23回「ネットワーク パケットを読む会 (仮)」の発表用スライドです。

Published in: Technology

Wireshark入門(2)

  1. 1. Wireshark の分析機能 2014/11/28 改定版 Murachi Akira aka hebikuzure
  2. 2. 実践パケット解析――Wiresharkを使った トラブルシューティング • http://www.oreilly.co.jp/books/9784873113517/ • ISBN978-4-87311-351-7 ネットワークパケットを読む会(仮) 2014/11/28 2
  3. 3. 公式サイトからダウンロードしてインス トールしましょう http://www.wireshark.org/ ネットワークパケットを読む会(仮) 2014/11/28 3
  4. 4. 最新バージョンを利用しましょう • セキュリティ修正が含まれます • 古いバージョンは攻撃対象になります Windows 環境では同梱のWinPcap を利用 しましょう ネットワークパケットを読む会(仮) 2014/11/28 4
  5. 5. WinPcap 4.1 以降のバージョンではNPF サービスが自動起動に設定されます • [管理者として実行] しなくてもパケットキャプ チャができます • 自動起動で問題がある場合は、以下のレジストリ キーで設定が変更できます HKLMSYSTEMCurrentControlSetservices NPFStart  0x1 : SERVICE_SYSTEM_START  0x2 : SERVICE_AUTO_START  0x3 : SERVICE_DEMAND_START ネットワークパケットを読む会(仮) 2014/11/28 5
  6. 6. How To Set Up a Capture http://wiki.wireshark.org/CaptureSetup Security http://wiki.wireshark.org/Security Platform-Specific information about capture privileges http://wiki.wireshark.org/CaptureSetup/Cap turePrivileges ネットワークパケットを読む会(仮) 2014/11/28 6
  7. 7. MAC アドレス • MAC アドレス⇒ IP アドレスに解決(arp) • MAC アドレスの上位3バイト⇒ ベンダー名 IP アドレス • IP アドレス⇒ ホスト名(DNS) ポート番号 • ポート番号⇒プロトコル名(well-known ports ) ネットワークパケットを読む会(仮) 2014/11/28 7
  8. 8. IP アドレスの名前解決のためキャプチャ 時、キャプチャファイルを開く際にDNS アクセスが行われる • トラフィックの増加 • 処理時間の増加 ポート番号の名前解決ではwell-known ports 以外のトラフィックが正しく表示さ れない(かえって分かりにくくなる) ネットワークパケットを読む会(仮) 2014/11/28 8
  9. 9. [Capture] – [Options] の “Name Resolution” セクション ネットワークパケットを読む会(仮) 2014/11/28 9
  10. 10. [View] – [Name Resolution] ネットワークパケットを読む会(仮) 2014/11/28 10
  11. 11. パケットリストで右クリック - [Manually Resolve Address] ネットワークパケットを読む会(仮) 2014/11/28 11
  12. 12. [Address] 欄で送信元か相手先かを選択 [Name] 欄に名前を入力 [Enable network name resolution] が無効 の場合は有効にする ネットワークパケットを読む会(仮) 2014/11/28 12
  13. 13. Expert Info Composite 機能 対話(Conversations) 統計機能 終端(Endpoint) 統計機能 プロトコル階層(Protocol Hierarchy) 機能 IO Graph 機能 ネットワークパケットを読む会(仮) 2014/11/28 13
  14. 14. 個々のパケットの解析の繰り返しでは抽出 するのが困難な大量のデータ 特異パケットを自動抽出 マクロ的分析 データの可視化 ネットワークパケットを読む会(仮) 2014/11/28 14
  15. 15.  [Statistics] – [Summary] ネットワークパケットを読む会(仮) 2014/11/28 15
  16. 16. Expert Info Composite 機能 [Analyze] – [Expert Info Composite] または ここをクリック ネットワークパケットを読む会(仮) 2014/11/28 16
  17. 17. 特異情報があるパケットが分類されて表示 される ネットワークパケットを読む会(仮) 2014/11/28 17
  18. 18. 不正パケット、チェックサムエラーなど • チェックサムエラーはChecksum Offload のため で、問題ない場合がほとんど ネットワークパケットを読む会(仮) 2014/11/28 18
  19. 19. キャプチャ時、NIC のChecksum Offload を無効にする • 基本的にネットワークドライバー側の設定 • Windows なら[デバイスマネージャー] からネッ トワークアダプターのプロパティーを開いて設定 できる ネットワークパケットを読む会(仮) 2014/11/28 19
  20. 20.  [Edit] – [Preference] – [Protocols] で[IPv4] (または[IPv6]) の [Validate the IPv4 checksum if possible] を無効にする ネットワークパケットを読む会(仮) 2014/11/28 20
  21. 21. sequence number の不一致、Window サ イズの問題、fast retransmission など ネットワークパケットを読む会(仮) 2014/11/28 21
  22. 22. 再送、重複ACK、特異なTTL 、アプリ ケーションレベルのエラーなど ネットワークパケットを読む会(仮) 2014/11/28 22
  23. 23. リクエスト/レスポンスごとに分類 ネットワークパケットを読む会(仮) 2014/11/28 23
  24. 24. 分析情報のあるすべてのパケットを表示 ネットワークパケットを読む会(仮) 2014/11/28 24
  25. 25. 対話(Conversations) 統計機能 終端(Endpoint) 統計機能 Top N 分析/ パレート分析に 利用できる ネットワークパケットを読む会(仮) 2014/11/28 25
  26. 26.  [Statistics] – [Conversations] ネットワークパケットを読む会(仮) 2014/11/28 26
  27. 27. 送信元/宛先MAC アドレスの組み合わせご との情報を表示 ネットワークパケットを読む会(仮) 2014/11/28 27
  28. 28. 送信元/宛先IP アドレスの組み合わせごと に情報を表示 ネットワークパケットを読む会(仮) 2014/11/28 28
  29. 29. 送信元IP・PORT / 宛先IP・PROT の組み 合わせごとに情報を表示 ネットワークパケットを読む会(仮) 2014/11/28 29
  30. 30. 特定のプロトコルだけのリストを作成する 場合は [Statistics] – [Conversation List] からプロトコルを選択する ネットワークパケットを読む会(仮) 2014/11/28 30
  31. 31. [Statistics] – [Endpoints]
  32. 32. 特定のエンドポイントだけのリストを作成 する場合は [Statistics] – [Endpoint List] からプロトコルを選択する ネットワークパケットを読む会(仮) 2014/11/28 32
  33. 33.  [Statistics] – [Protocol Hierarchy] ネットワークパケットを読む会(仮) 2014/11/28 33
  34. 34. IO Graph 機能  [Statistics] – [IO Graphs] ネットワークパケットを読む会(仮) 2014/11/28 34
  35. 35. ネットワークパケットを読む会(仮) 2014/11/28 35
  36. 36. X Axis : X 軸(横軸)の調整 • Tick interval プロット間隔時間の調整 • Pixels per tick プロット表示間隔の調整 • View as time of day • 表示時間フォーマットの変更 ネットワークパケットを読む会(仮) 2014/11/28 36
  37. 37. X Axis の設定 ネットワークパケットを読む会(仮) 2014/11/28 37
  38. 38. Y Axis : Y 軸(縦軸)の調整 • Unit 表示単位の切り替え Packet 数, Byte数, Bit数, Advanced • Scale 目盛のスケールの切り替え ネットワークパケットを読む会(仮) 2014/11/28 38
  39. 39. Y Axis の設定 ネットワークパケットを読む会(仮) 2014/11/28 39
  40. 40. [Graphs] セクション– [Filter] Display Filter と同じ書式でフィルタを 設定する [Graph n] ボタンで表示/非表示を切替え ネットワークパケットを読む会(仮) 2014/11/28 40
  41. 41. [Graphs] セクション– [Filter] ネットワークパケットを読む会(仮) 2014/11/28 41
  42. 42. [Save] ボタン 作成したグラフを画像として保存できる ネットワークパケットを読む会(仮) 2014/11/28 42
  43. 43. TCP Stream Graph 機能  [Statistics] – [TCP Stream Graph] – 作成するグラフの種類を選択 ネットワークパケットを読む会(仮) 2014/11/28 43
  44. 44. ネットワークパケットを読む会(仮) 2014/11/28 44
  45. 45. Graph Control ウィンドウの [Graph Type] タブで切り替えできる ネットワークパケットを読む会(仮) 2014/11/28 45
  46. 46. ネットワークパケットを読む会(仮) 2014/11/28 46
  47. 47. ネットワークパケットを読む会(仮) 2014/11/28 47
  48. 48. ネットワークパケットを読む会(仮) 2014/11/28 48
  49. 49. ネットワークパケットを読む会(仮) 2014/11/28 49
  50. 50. ネットワークパケットを読む会(仮) 2014/11/28 50
  51. 51. ネットワークパケットを読む会(仮) 2014/11/28 51
  52. 52. Wireshark User‘s Guide http://www.wireshark.org/docs/ wsug_html_chunked/ Wireshark Wiki http://wiki.wireshark.org/FrontPage Wireshark University http://www.wiresharktraining.com/ ネットワークパケットを読む会(仮) 2014/11/28 52

×