Windows の標準コマンドでパケット キャプチャ

Transcript

• 1. Windows の標準コマンドで パケット キャプチャ hebikuzure aka Murachi Akira This material provided by CC BY-NC-ND 4.0. See http://creativecommons.org/licenses/by-nc-nd/4.0/
• 2. About me • 村地 彰 aka hebikuzure • http://www.murachi.net/ • http://www.hebikuzure.com/ • https://hebikuzure.wordpress.com/ • MicrosoftMVP(InternetExplorer)Apr.2011～ 2015/4/27 2© 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27
• 3. 標準機能でパケット キャプチャ • UNIX / Linux 系なら TCPDUMP • Windows では? 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 3
• 4. Windows なら netsh • netsh コマンドでパケット キャプチャ • Windows 7 / Windows Server 2008 R2 以降で機能追加 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 4
• 5. 書式 netsh trace start [[scenario=]< scenario1, scenario2>] [[globalKeywords=]keywords] [[globalLevel=]level] [[capture=]yes|no] [[report=]yes|no] [[persistent=]yes|no] [[traceFile=]path¥filename] [[maxSize=]filemaxsize][fileMode=]single|circular|append] [[overwrite=]yes|no][[correlation=]yes|no|disabled][capturefilters] [[provider=]providerIdOrName][[keywords=]keywordMaskOrSet] [[level=]level] [[provider=]provider2IdOrName] [[keywords=]keyword2MaskOrSet] [[level=]level2] ... netsh trace start /? でヘルプ表示 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 5
• 6. キャプチャの開始 • 管理者コマンド プロンプトを起動 • netsh trace start capture=yes • ・・・キャプチャ取得・・・ • netsh trace stop でキャプチャ終了 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 6
• 7. キャプチャ データの保存 • キャプチャ データは etl ファイルに記録 – etl : event trace log • 既定の保存場所 %LOCALAPPDATA%¥temp¥netTraces¥netTrace.etl • 保存場所の変更はstart のオプションで traceFile=(etl ファイルのパスとファイル名) 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 7
• 8. キャプチャ データの解析 • ネットワーク キャプチャの etl を読める ツール –Microsoft Message Analyzer –Microsoft Network Monitor 3.3 / 3.4 • Wireshark で解析する場合 • Microsoft Message Analyzer で開き、 cap 形式にエクスポート 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 8
• 9. 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 9
• 10. DEMO 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 10
• 11. 参考情報 • ネットワーク診断とトレース https://technet.microsoft.com/ja-jp/library/ee624046(v=ws.10).aspx • The Cable Guy: Windows 7 のネットワーク診断とトレース https://technet.microsoft.com/ja-jp/magazine/ff625276.aspx • Capture a Network Trace without installing anything (& capture a network trace of a reboot) http://blogs.msdn.com/b/canberrapfe/archive/2012/03/31/capture-a-network- trace-without-installing-anything-works-for-shutdown-and-restart-too.aspx • So you want to use Wireshark to read the netsh trace output .etl? http://blogs.technet.com/b/yongrhee/archive/2013/08/16/so-you-want-to-use- wireshark-to-read-the-netsh-trace-output-etl.aspx • Network tracing (packet sniffing) built-in to Windows Server 2008 R2 and Windows Server 2012. http://blogs.technet.com/b/yongrhee/archive/2012/12/01/network-tracing- packet-sniffing-built-in-to-windows-server-2008-r2-and-windows-server-2012.aspx 2015/4/27 © 2015 Murachi Akira - CC BY-NC-ND - ネットワーク パケットを読む会(仮) #27 11