Wiresharkでネットワークを探索する

Wiresharkとは何ですか？

クイックリンク

Wiresharkとは何ですか？
Wiresharkのインストール
- 窓
- マック
- Linux
インターフェース
キャプチャオプション
トラフィックをキャプチャする
データを読む
パケットのフィルタリング
- キャプチャ中のフィルタリング
- 結果のフィルタリング
パケットストリームの追跡
おわりに

Wiresharkは、ネットワークトラフィックを監視およびキャプチャできる強力なネットワーク分析ツールです。パケットレベルでトラフィックをキャプチャします。つまり、ネットワークを通過する情報の各ビット、内容、内容を確認できます。

このツールを使用すると、ネットワーク内のトラフィックの流れを視覚化して理解できます。渡されるデータを確認することで、直面する可能性のあるセキュリティ上の懸念、マルウェア、帯域幅を占有するプログラム、WiFi上の不要なゲストなどの潜在的に不要なトラフィックについても洞察を得ることができます。

Wiresharkは、ネットワークを離れるデータがより大きなインターネットに送信される方法を正確に確認できるため、重要なツールでもあります。たとえば、HTTPリクエストを表示して読み取ることができ、どのデータが暗号化されずに送信されているかを確認できます。特にそのデータが銀行のパスワードのようなものである場合、それは非常に大きな問題になる可能性があります。

Wiresharkのインストール

Wiresharkは、オープンソースのクロスプラットフォームです。無料で、すべての主要なオペレーティングシステムで使用できます。プログラム内のコントロールはすべてのプラットフォームでまったく同じであるため、心配する必要はありません。画像はLinuxのものですが、表示されるものはすべてWindowsとMacでも動作します。

窓

Wiresharkのダウンロードページにアクセスし、ご使用のWindowsバージョンの最新リリースをダウンロードします。結果の.exeを実行します。インストーラーはかなり標準です。そのほとんどをクリックして、デフォルトを使用できます。

ただし、注意したいことが1つあります。 WinPcapをインストールするかどうかを尋ねる画面が表示されます。 WinPcapは、Windows上のWiresharkの追加ユーティリティで、コンピューターのトラフィックだけでなく、ネットワーク上のすべてのトラフィックをキャプチャできます。ボックスをオフにしてWinPcapをインストールします。 USBバージョンについても尋ねられます。必ずしも必要ではありませんが、含めることもできます。

その後、インストールが完了します。 WinPcapの新規インストールが開始されます。そこでもデフォルトが受け入れられます。

マック

Wiresharkのダウンロードページにアクセスし、最新の.dmgファイルを取得します。ダウンロードが完了したら、ファイルをダブルクリックして開きます。開いているアプリケーションを/ Applicationsフォルダーにドラッグして、Wiresharkをインストールします。

Linux

ほとんどのLinuxディストリビューションでは、リポジトリでWiresharkを利用できます。パッケージマネージャーでインストールします。

$ sudo apt install wireshark-gtk

ディストリビューションに応じて、一般ユーザーにパケットのキャプチャを許可するかどうかを確認するメッセージが表示されます。「はい」と言う必要があります。パッケージをインストールしたら、ユーザーにWiresharkグループを追加します。完了したら、ログアウトして再度ログインします。

$ sudo gpasswd -aユーザーWireshark

インターフェース

最初にWiresharkを開くと、上記のような画面が表示されます。ツールバーの上部にはかなりの数のボタンがあり、圧倒的に見えるかもしれませんが、おそらくあなたが思っているよりもずっと簡単です。

デフォルトのキャプチャインターフェイスはやや厄介です。レイアウトを変更してより快適にすることができます。[編集]をクリックします。[設定]メニューと下部を見つけて開きます。環境設定の下に、左側に「レイアウト」タブが表示されます。選択してください。さまざまなレイアウトオプションを示す複数のアイコンが表示されます。最適なものを選択してください。通常、スタックレイアウトの最初のオプションは適切に機能します。

ツールバーについてはあまり心配しないでください。最初の5つのアイコンが最も重要です。順番に、キャプチャするインターフェイスを選択し、キャプチャ設定を変更し、キャプチャを開始し、キャプチャを停止し、再開することができます。アイコン自体はかなり直感的です。

キャプチャオプション

トラフィックのキャプチャを開始する前に、キャプチャオプションを調べて、Wiresharkの機能を確認する必要があります。キャプチャオプションアイコンをクリックします。ギアのように見えるはずです。

ウィンドウの上部に最初に表示されるのは、すべてのネットワークインターフェイスをリストした表です。キャプチャするインターフェイスの横にあるチェックボックスをオンにします。ほとんどの場合、必要なインターフェイスは、ネットワークへの接続に使用しているインターフェイスです。イーサネットポートまたはWiFiデバイスに対応するものになります。

その下に、いくつかのチェックボックスが表示されます。無差別モードを使用するかどうかを尋ねられます。無差別モードでは、自分のコンピューターだけでなく、ネットワーク上のすべてのデバイス間のやり取りを確認できます。おそらく、これを有効にする必要があります。ただし、 注意してください 。自分が所有していないか、テストする権限がないネットワークでプロミスキャスモードを使用することは違法です。

次のセクションでは、キャプチャファイルについて説明します。 Wiresharkでは、キャプチャしたデータを保存できます。そこの最初のフィールドでは、キャプチャの単一の宛先を指定できます。その下で、チェックボックスをオンにして、Wiresharkがキャプチャログを分割できるようにします。特に大規模なネットワークでは、ログが非常に大きくなる可能性があります。この機能により、時間またはファイルサイズに基づいてキャプチャデータを自動的に分割できます。いずれにせよ、長期間のスキャンやビジーなネットワークを扱う場合に便利な機能です。

その下で、キャプチャの期間を制御できます。繰り返しますが、キャプチャは大きくなる可能性があるため、最大サイズを設定できます。また、タイムアウトすることもできます。これは、ネットワーク上の特定の時間枠のスナップショットを取得できるため便利です。

トラフィックをキャプチャする

設定が完了したら、ネットワーク上のトラフィックのキャプチャを開始できます。あなたが以前にこの種のことをやったことがないなら、驚かされる準備をしてください。ネットワークを流れるトラフィックは、あなたが知っているよりもはるかに多くなります。キャプチャを開始するには、構成ウィンドウの下部にある[開始]ボタンまたはフカヒレアイコンをクリックします。どちらの方法でも機能します。

記録を開始するとき、表示されるトラフィックの量は、ネットワーク上のデバイスによって異なります。ほとんどの人は、目にするトラフィックの負荷に追いつくことができませんが、ほとんど何も見えない可能性があります。その場合は、Webブラウザーを開き、ナビゲートを開始します。キャプチャがすぐに入力され始めます。

テストしたい時間だけキャプチャを実行したら、ツールバーの停止ボタンをクリックします。持っているものは上の画像のように見えるはずです。

データを読む

キャプチャしたパケットの1つをクリックします。 HTTPリクエストを見つけてください。読みやすい傾向があります。パケットを選択すると、画面の他の2つのセクションには、選択したセクションに関する情報が表示されます。

注意が必要なセクションには、折りたたみ可能なタブが積み重ねられています。これらのタブはOSIモデルに従っており、最上位に最低レベルの情報があり、最低レベルから最高レベルに並べられています。つまり、最も関連性の高い情報はおそらく一番下のタブにあります。

各タブには、パケットに関するさまざまな情報が含まれています。 HTTPパケットには、応答、ヘッダー、場合によってはHTMLを含む、HTTP要求に関する情報が表示されます。他のタイプのパケットには、使用中のポート、使用中の暗号化、プロトコル、およびMACアドレスに関する情報が含まれる場合があります。

パケットのフィルタリング

探しているものを正確に見つけるために、大量のキャプチャデータを掘り下げるのは面倒です。それは非効率的であり、時間の浪費です。 Wiresharkにはフィルタリング機能があり、パケットをすばやくソートして、いつでも関連するものを正確に見つけることができます。

Wiresharkで結果をフィルタリングできる基本的な方法がいくつかあります。まず、多くのフィルターが組み込まれています。いずれかのフィルターフィールドに入力を開始すると、Wiresharkはオートコンプリートの候補としてそれらを表示します。それらのいずれかがあなたが探しているものであるならば、素晴らしい！フィルタリングは非常に簡単です。

Wiresharkは、ブール演算子と呼ばれるものも使用します。ブール演算子は、ステートメントが真であるかどうかを評価するために使用されます。たとえば、2つの条件を満たしたい場合は、条件1 と条件2の両方がtrueである必要があるため、それらの間に「and」演算子を使用します。「or」演算子は似ていますが、条件の1つが真である必要があるだけです。おそらく、「not」演算子は、条件が存在しないときに探していると推測できます。

ブール演算子に加えて、Wiresharkは比較演算子をサポートしています。名前が示すように、比較演算子は2つ以上の条件を比較します。条件の同等性は、より大きい、より小さい、または等しいと評価されます。

キャプチャ中のフィルタリング

キャプチャ中の結果のフィルタリングは非常に簡単です。キャプチャオプションを開きます。ウィンドウの中央にある[キャプチャオプション]ボタンを探します。また、横に大きなテキストフィールドが必要です。

そのフィールドでフィルターを最初から作成するか、ボタンをクリックしてWiresharkの組み込みフィルターを使用できます。ボタンをクリックしてみてください。新しいウィンドウが開き、フィルターのリストが表示されます。これらのフィルターをクリックすると、以下のフィールドに入力されます。下のフィールドは、使用されている実際のフィルターです。独自のカスタムフィルタの基礎として、そのフィルタを変更できます。準備ができたら、「OK」をクリックします。その後、通常どおりスキャンを実行します。すべてをキャプチャするのではなく、Wiresharkはフィルタの条件を考慮したパケットのみをキャプチャします。これにより、パケットデータの並べ替えと分類がはるかに簡単になります。必要なものを見つけるために多くの追加情報を掘り下げる必要はありません。

結果のフィルタリング

完全なキャプチャまたはより堅牢なキャプチャを実行したが、事後にフィルタリングする場合は、それも実行できます。キャプチャを実行すると、コントロールアイコンの下に追加のツールバーが表示されます。そのツールバーには「フィルター」フィールドがあります。そのフィールドに式を入力して、Wiresharkが表示する結果をフィルタリングできます。

キャプチャ中のフィルタリングと同様に、簡単な方法があります。 [式]ボタンをクリックして、フィルター式をまとめるのに役立つウィンドウを開きます。左の列にはフィールドのリストが含まれています。これらのフィールドでは、ターゲットとする情報を選択できます。次の列には、可能な関係のリストが含まれています。ほとんどは、より小さい、より大きい、等しい、およびそれらの組み合わせの記号です。最後の列は値用です。これらは、比較する値です。フィールドに応じて、比較する値を選択または書き込むことができます。

これらはより複雑になる可能性があり、さらに式を追加できます。それはブール演算子に該当します。ただし、これらのブール値は異なります。この式フィールドでは、単語自体の代わりにand、or、notの記号を使用します。 || は「or」を表します。&&は「and」です。「ではない」

たとえば、UDP以外のすべてが必要な場合は、！udpを使用します。 HTTPまたはTCPが必要な場合は、http ||を試してください。 tcp。それらを組み合わせて、より複雑な式にすることもできます。式が複雑になるほど、フィルターはより洗練されます。

パケットストリームの追跡

興味のあるパケットを取得したら、Wiresharkのすばらしい組み込みツールを使用して、それらのパケットを交換する2台のコンピューター間の「会話」全体を追跡できます。パケットストリームを追跡すると、Wirsharkはそれをすべてまとめて、より大きな結果の画像を形成します。 HTTPパケットの場合、WiresharkはおそらくWebページのHTMLソースをまとめます。特定の暗号化されていないVOIPプログラムを使用すると、Wiresharkは交換された音声を取得することもできます。はい、実際にVOIP会話を聞くことができます。

フォローするパケットを右クリックします。「フォロー…ストリーム」を選択し、ドットをパケットのプロトコルに置き換えます。 Wiresharkは、すべてをまとめるのに数秒かかります。終了後、Wiresharkは完了した結果を提示します。この機能により、ネットワーク上で交換されているものを正確に確認することがはるかに簡単になります。また、この機能は暗号化されたパケットと完全なナンセンスをまとめるだけなので、ネットワーク暗号化の重要性を示しています。

おわりに

Wiresharkは、ネットワーク分析において非常に優れたツールです。それはあなたのネットワークで起こっているすべてを見るためのアクセスを提供します。 Wiresharkを使用すると、速度とセキュリティの両方の点で、ネットワークの問題の場所をより深く理解できます。 Wiresharkは常に注意して使用することを忘れないでください。また、Wiresharkは非常に邪魔になることを理解してください。人をスパイしないでください。また、Wiresharkを法律の範囲内で使用することを忘れないでください。