実践 パケット解析 第3版 ―Wiresharkを使ったトラブルシューティング

第6章コマンドラインでのパケット解析

ほとんどのケースではGUI（グラフィカルユーザーインターフェース）で作業できますが、TSharkやtcpdumpなどのコマンドラインツールを使ったほうがよい、または使わざるを得ない場合があります。ここではWiresharkではなくコマンドラインツールを使ったほうがよいケースを見ていきます。

• Wiresharkは一度に多くの情報を提供します。コマンドラインツールを使うことで、各行でIPアドレスだけを表示するなど、必要なデータだけに絞り込んだ表示をすることができます。
• コマンドラインツールはパケットキャプチャファイルにフィルタを適用して、Unixパイプを使って別のツールに直接結果を供給するのに適しています。
• 巨大なキャプチャファイルをWiresharkで処理する際は、ファイル全体をメモリにロードする必要があるため大変です。コマンドラインツールでストリーム処理すれば、必要なパケットの絞り込みをすばやく行えます。
• サーバ上での作業でグラフィックツールが使えない場合、コマンドラインツールを使わざるを得ないでしょう。

この章では、2つのよく使われるコマンドラインパケット解析ツール、TSharkとtcpdumpの機能を紹介します。筆者は通常WindowsではTShark、Unixではtcpdumpを使っています。これらのツールに慣れておくと便利ですが、Windowsしか使わないなら、tcpdumpについて書いた部分は読み飛ばしてもかまいません。

6.1　TSharkをインストールする

コマンドライン版のWireshark、通称TSharkは、Wiresharkとほぼ同等の機能を提供する、GUIなしのコマンドラインインターフェースで動作するパケット解析ツールです。Wiresharkをインストールしている場合は、その際に意図的に除外する選択をしていない限り、すでにTSharkもインストールされているはずです。TSharkがインストールされているかどうかは、次のステップで確認することができます。 ...