Wiresharkとは何か

端末が送信した通信は、Ethernet、IP、TCP、UDP、DNSなど、複数のヘッダーを持つパケットとして流れます。 Wiresharkは、取得したデータを単なる16進数ではなく、各プロトコルの項目へ分解して表示します。

Wiresharkが役立つ代表的な場面

利用前に知っておくべき注意点

許可された環境だけでキャプチャーする

パケットには、IPアドレス、ホスト名、URL、利用サービス、認証に関する情報などが含まれる場合があります。 業務環境で取得するときは、組織の規程、作業申請、取得範囲、保管方法、共有先を確認してください。

Wiresharkでネットワーク全体が見えるわけではない

通常のPCで取得できるのは、基本的にそのPCのインターフェースから見える通信です。 スイッチ配下の別端末同士のユニキャスト通信は、PCへ転送されないため、そのままでは確認できません。

Wiresharkのインストールと起動

Windowsの場合

公式サイトからWindows用インストーラーを入手して実行します。 Windowsでライブキャプチャーを行うには、パケット取得用ドライバーの Npcapが必要です。公式インストーラーにはNpcapの導入項目が含まれています。

1. 公式配布ページからインストーラーを入手する 組織管理端末では、ソフトウェア導入ルールや承認済みバージョンを確認します。
2. インストーラーを実行する 学習目的であれば、通常は既定のコンポーネントで進められます。
3. Npcapをインストールする Npcapがない場合、保存済みファイルは開けても、Windows上でライブキャプチャーできません。
4. Wiresharkを起動する 起動画面にネットワークインターフェースの一覧が表示されることを確認します。

macOS・Linuxの場合

公式パッケージまたはOSのパッケージ管理機能を使用します。 Linuxでは、一般ユーザーがキャプチャーできるようにするための権限設定が必要になる場合があります。 安易にWireshark全体を常時管理者権限で実行するのではなく、組織やOSの推奨手順に従ってください。

Wiresharkの基本操作を全体で理解する

最初に、キャプチャーから解析までの流れを覚えます。 いきなり大量のパケットを読むのではなく、 目的を決めて、短時間だけ取得し、条件で絞ることが基本です。

キャプチャーするインターフェースの選び方

Wiresharkの起動画面には、Ethernet、Wi-Fi、VPN、仮想アダプター、ループバックなど、 複数のインターフェースが表示される場合があります。 選ぶべきなのは、調査対象の通信が実際に通るインターフェースです。

選択の判断方法

1. OSで現在の接続状態を確認する Windowsならネットワーク設定やipconfig、Linuxならip addressなどで、使用中のNICを確認します。
2. Wiresharkの波形を見る 通信中のインターフェースは、起動画面の小さなグラフが動きます。
3. IPアドレスを照合する Capture Optionsでインターフェースのアドレスを確認し、OS側のIPアドレスと照合します。
4. 短時間テストする 迷う場合は数秒だけ取得してicmpやdnsで絞り、目的の通信が見えるか確認します。

Wiresharkのメイン画面を理解する

キャプチャーを開始すると、画面は主に3つの領域に分かれます。 まずは、それぞれの役割を区別できれば十分です。

上段：Packet List

現在のキャプチャーファイルに含まれるパケットが一覧表示されます。 代表的な列は次のとおりです。

中段：Packet Details

選択した1パケットを階層構造で確認します。 たとえばTCP通信では、次のように表示されます。

各行を展開すると、MACアドレス、IPアドレス、ポート番号、TCPフラグ、シーケンス番号などを確認できます。 障害調査では、上段だけで判断せず、必要に応じて中段でフィールド値を確認します。

下段：Packet Bytes

パケットの生データを16進数と文字列で表示します。 最初からバイト列を手作業で読む必要はありませんが、中段で選択したフィールドが実際のどのバイトに対応するか確認できます。

パケットをキャプチャーする基本手順

ここでは、自分のPCからデフォルトゲートウェイへpingを実行し、ICMPパケットを取得する流れを例にします。

1. デフォルトゲートウェイを確認する Windowsではipconfigを実行し、現在利用中のNICに表示されるデフォルトゲートウェイを確認します。
2. Wiresharkで使用中のインターフェースを選ぶ EthernetまたはWi-Fiなど、pingが通る経路のNICを選択します。
3. キャプチャーを開始する 青いサメのヒレのボタン、または対象インターフェースをダブルクリックして開始します。
4. コマンドプロンプトからpingを実行する 数回だけ送信し、事象を再現します。
5. キャプチャーを停止する 赤い停止ボタンを押し、取得範囲を固定します。
6. 表示フィルターへicmpと入力する ICMPパケットだけを表示し、Echo requestとEcho replyが対になっているか確認します。

1つのパケットを読む方法

パケットを読むときは、細かいフィールドを上からすべて確認する必要はありません。 調査目的に合わせて、次の順番で確認します。

1. 何のプロトコルか Packet ListのProtocol列とInfo列を見て、ARP、ICMP、DNS、TCP、TLSなどを判断します。
2. 誰から誰へ送られたか SourceとDestinationを確認します。必要に応じてEthernet層のMACアドレスとIP層のIPアドレスを分けて見ます。
3. 要求か応答か DNS QueryとResponse、ICMP Echo requestとreply、TCP SYNとSYN/ACKなどを対で確認します。
4. 時系列が正常か 要求後に応答があるか、同じパケットが再送されていないか、応答まで何秒かかっているかを確認します。
5. 詳細フィールドを確認する IP、ポート、フラグ、エラーコードなど、仮説の判断に必要な項目だけを中段で展開します。

表示フィルターの基本

キャプチャーには、OSのバックグラウンド通信、ブロードキャスト、名前解決など、多数のパケットが含まれます。 表示フィルターを使うと、取得済みパケットの中から必要なものだけを画面に表示できます。

まず覚える表示フィルター

表中の192.0.2.0/24は説明用アドレスです。 演習時は、自分のPCや調査対象のIPアドレスへ置き換えてください。

複数条件を組み合わせる

障害調査で使う表示フィルター

キャプチャーフィルターとの違い

Wiresharkには、表示フィルターとは別にキャプチャーフィルターがあります。 名前は似ていますが、適用するタイミングと構文が異なります。

代表的なキャプチャーフィルター

通信のまとまりを追跡する

TCP通信では、同じ接続に属するパケットが多数並びます。 Wiresharkのストリーム追跡機能を使うと、選択した通信に関係するパケットをまとめて確認できます。

Follow TCP Streamの基本操作

1. 確認したいTCPパケットを選択する 対象のクライアントとサーバー、ポート番号を確認します。
2. 右クリックする コンテキストメニューからFollowを選択します。
3. TCP Streamを選ぶ 同じTCP接続に属するデータをまとめて表示します。
4. 元の画面でストリーム番号を確認する 自動的にtcp.stream == 数字が適用されます。

暗号化通信の注意

HTTPSなどのTLS通信では、IPアドレス、ポート番号、TCPの状態、TLSハンドシェイクなどは確認できますが、 アプリケーションデータの内容は通常暗号化されています。

キャプチャーファイルを保存する

調査結果をあとから確認したり、別の担当者へ共有したりする場合は、キャプチャーファイルを保存します。 Wiresharkでは、標準的に.pcapng形式を利用できます。

1. キャプチャーを停止する 取得中のまま閉じないようにします。
2. File → Save Asを選ぶ 調査日時や対象が分かるファイル名を付けます。
3. 保存範囲を確認する 表示中のパケットだけを書き出す操作と、取得全体を保存する操作を混同しないようにします。
4. 調査メモを別途残す 取得場所、時刻、端末IP、再現操作、適用フィルターを記録します。

ファイル名の例

一緒に残すべき情報

パケットが見えないときの確認点

「Wiresharkを起動したが、目的の通信が見えない」という場合は、次の順番で確認します。

チェックの順番

チェックサムエラーが大量に見える場合

送信側PCでキャプチャーすると、NICのチェックサムオフロードによって、Wireshark上ではチェックサム未完成の状態に見える場合があります。 そのため、赤や黒の表示があるだけで、実ネットワーク上のパケット破損と即断してはいけません。

実務での調査手順

実務では、すべてのパケットを眺めるのではなく、申告内容から仮説を立てて取得します。 たとえば「Webサイトが開かない」という事象なら、次のように分解します。

Wiresharkでよくある勘違い

自分の言葉で説明する課題

参考資料

• Wireshark User’s Guide
• Installing Wireshark under Windows
• Building Display Filter Expressions
• Filtering while capturing
• Wireshark Display Filter Reference