パケット取得ソフト(Wireshark)のインストール及び使用手順

広告

Wiresharkとは

Wiresharkとは、どのような通信(パケット)が送受信されているか確認するためのパケットキャプチャツールです。
障害が発生した場合に、正常に通信が届いているか確認して、ネットワーク障害かどうか判断する際によく使用します。
また、ウイルス感染の疑いがある機器から不審なIPアドレスに通信されていないか確認するなどセキュリティインシデント調査でも利用できます。

Wiresharkには様々な機能がありますが、代表的な機能は以下の通りです。

  • パケットの表示フィルタ機能
  • 特定のセッションを抽出して表示する機能(〇〇〇 Follow Stream)

Wiresharkのインストール及び起動手順

(1) ブラウザを起動して、「Wiresharkのダウンロードサイト」にアクセスします。

(2) ダウンロードするバージョンのインストーラ(Wireshark-win64-x.x.x.exe)をクリックします。2021年10月時点の最新バージョン(3.4.8)の「Wireshark Installer (64-bits)」をクリックします。
Wiresharkのインストール(1)

(3) ダウンロードしたファイルがウイルスかどうか確認するために、以下のVirusTotalのサイトにアクセスします。
   https://www.virustotal.com/gui/
その後、「FILE」をクリック後、「Choose file」をクリックして、ウイルスかどうか確認するファイルを選択します。
Wiresharkのインストール(2)

(5) 左上にウイルスと判断した会社数が表示されます。下部にそれぞれの会社ごとの判定結果が表示されます。何も検知されていないことを確認します。
Wiresharkのインストール(3)

(6) ダウンロードしたWinSCPのインストーラ(Wireshark-win64-x.x.x.exe)を実行します。

(7) 「Next」をクリックします。
Wiresharkのインストール(4)

(8) 許諾書の内容を確認して、「Noted」をクリックします。
Wiresharkのインストール(5)

(9) インストールするコンポーネントにチェックを付けて、「Next」をクリックします。今回はデフォルトのままにします。
Wiresharkのインストール(6)

(10) 作成するショートカットにチェックを付けて、「Next」をクリックします。今回はデフォルトのままにします。
Wiresharkのインストール(7)

(11) インストールフォルダを入力して、「Next」をクリックします。今回はデフォルトのままにします。
Wiresharkのインストール(8)

(12) Npcapをインストールするかどうかチェックを付けて、「Next」をクリックします。今回はインストールするため、「Install Npcap」にチェックを付けます。
Wiresharkのインストール(9)

(13) USBPcapをインストールするかどうかチェックを付けて、「Next」をクリックします。今回はインストールしないため、「Install USBPcap」にチェックを外します。
Wiresharkのインストール(10)

(14) Npcapのインストールのポップアップが表示されるため、同意書の内容を確認して、「I Agree」をクリックします。
Wiresharkのインストール(11)

(15) インストールオプションはデフォルトのまま「Install」をクリックします。
Wiresharkのインストール(12)

(16) Npcapのインストールが完了したら。「Next」をクリックします。
Wiresharkのインストール(13)

(17) 「Finish」をクリックします。
Wiresharkのインストール(14)

(18) Wiresharkのインストールが完了したら、「Next」をクリックします。
Wiresharkのインストール(15)

(19) 「Finish」をクリックします。
Wiresharkのインストール(16)

(20) スタートメニューのプログラムから「WinMerge」を実行します。パケットを取得するインターフェイスをクリックします。
Wiresharkのインストール(17)

(20) パケットの取得が開始されます。
Wiresharkのインストール(18)

参考情報:Wiresharkのパケットの表示フィルタ

パケットを取得すると大量のデータが収集及び表示されるため、必要なパケットを探すのが大変です。
そのため、Wiresharkでは表示フィルタを設定することができます。

以下の赤枠のように上部のテキストボックスに表示フィルタの条件を設定できます。
Wiresharkの表示フィルター

使用頻度が高い表示フィルタの条件は以下の通りです。

【プロトコル】

書式設定例書式の説明
tcptcpTCPプロトコルのパケットのみ表示
udpudpUDPプロトコルのパケットのみ表示
icmpicmpICMPプロトコルのパケットのみ表示
bootpbootpDHCPプロトコルのパケットのみ表示
sslsslHTTPSプロトコルのパケットのみ表示

【IPアドレス】

書式設定例書式の説明
ip.srcip.src==192.168.5.2送信元IPアドレスを指定して表示
ip.srcip.src==192.168.5.0/24送信元ネットワークを指定して表示
ip.dstip.dst==192.168.5.5送信先IPアドレスを指定して表示
ip.dstip.dst==192.168.5.0/24送信先ネットワークを指定して表示

【ポート番号】

書式設定例書式の説明
tcp.porttcp.port==80TCPのパケットのポート番号を指定して表示
udp.portudp.port==53UDPのパケットのポート番号を指定して表示
tcp.dstporttcp.dstport==443TCPで送信元のポート番号を指定して表示
udp.srcportudp.srcport>=1024UDPで宛先のポート番号を指定して表示

【時間】

書式設定例書式の説明
frame.timeframe.time > “Nov 28, 2018 0:20:00.0000”時間を指定して表示

【演算子】

書式設定例書式の説明
eq
==
tcp.dstport eq 80
tcp.dstport==80
演算子のイコール(同じ)
ne
!=
tcp.dstport ne 80
tcp.dstport!=80
演算子のノットイコール(異なる)
gt
>
tcp.dstport gt 1023
tcp.dstport>1023
演算子の大なり(より大きい)
lt
<
tcp.dstport lt 1024
tcp.dstport<1024
演算子の小なり(より小さい)
ge
>=
tcp.dstport ge 1024
tcp.dstport>=1024
演算子の以上
le
<=
tcp.dstport le 1023
tcp.dstport<=1023
演算子の以下

【論理式】

書式設定例書式の説明
and
&&
(tcp.dstport eq 443) and (ip.src==192.168.4.3)
(tcp.dstport eq 443) && (ip.src==192.168.4.3)
または(OS条件)
or
||
(tcp.dstport==80) or (tcp.dstport==443)
(tcp.dstport==80) || (tcp.dstport==443)
かつ(AND条件)
not
!
not tcp
!tcp
ではない(NOT条件)

参考情報:Wiresharkの特定のセッションを抽出して表示

一つのセッションで大量のデータを送る場合、パケットを分割して送られます。
Wiresharkでは、特定のセッションを抽出してデータの内容を表示させることができます。
その機能のことを「Follow TCP Stream」や「Follow Stream」といいます。

以下の手順で表示させることができます。

(1) 表示するパケットを右クリックで選択して、「追跡」-「〇〇〇ストリーム」をクリックします。
WiresharkのFollowStream(1)

(2) ポップアップでセッションの内容を確認できます。
WiresharkのFollowStream(2)

Wiresharkに関する書籍

Wiresharkの画面や詳しい使い方を知りたい場合は、以下の書籍をご確認ください。