「Wiresharkの活用法 〜長時間モニタリングとデータ解析について〜」

a)

Windowsを始めLinux、MacOSXなど様々なOSをサポートしている。OSが異なっても共通の操作で使える。

b)

データリンク層以上のプロトコルを解析出来る。層別に表示することも出来る。

c)

約８００種類と非常に多くのプロトコル解析が出来る。

スイッチングHUBにはプロトコルアナライザーの接続を考慮したポートミラーリング(※1)と呼ぶ機能を持つものがあります。
HUBの設定方法は商品別に異なりますが、専用ツールソフトやブラウザーなどから複数のモニタリング対象ポートとアナライザー接続ポートを指定するものが多いです。
稼働中システム構成のまま、簡単な設定だけでモニタリングできるメリットがあります。
なお、システム開発で機器を選択するときはあらかじめポートミラーリング可能なHUBを選定して置くのが良いです。

モニタリング対象をスイッチングHUBから切り離してリピータHUB(※2)へ接続する方法です。
これでリピータHUB全ポートに流れるパケットをモニタリング出来ます。
ただし以下の注意点がありますのでこれらが問題にならないときは方法としては簡単です。

PC1がPC3へ送信したデータは全てのポートに送られる。
そのためどのPCにWiresharkを入れても全ポートの通信データを見ることが出来る。
例えばPC5にWiresharkを入れてもPC1→PC3のデータを見ることが出来る。
図3. リピータHUBの通信経路イメージ

電気信号を分岐させる『タップ』(※3)と呼ぶアナライザーをつなぐためのHUBのような機器を用いてアナライザー側PCを接続します。
自分では使ったことはありませんが、以下のメリットがありそうなため是非使いたいと思います。

調査ターゲットシステムにPCがあればそのPCにWiresharkをインストールしてモニタリングする方法です。
ターゲットシステムのPCのみがモニタリング対象の場合には一番簡単な方法です。

基本的なことですが、忘れてしまうとモニタリングのログ解析が面倒になります。

パケットのキャプチャー漏れを極力防ぐためにメモリのバッファサイズを増やしておきます。
NIC毎にバッファサイズを設定でき、デフォルトは2Mbytesです。これを可能な範囲で増やします。

図4. メモリのバッファサイズ設定

無制限にモニタリングした結果アプリケーションエラーなどで異常終了することが無いよう、保存されるファイルが一定になる設定をします。

［手順］

1. メニューのCapture>Options（Ctrl+K）でオプション画面を開く。
2. Capture Files（図5のA）へ保存先フォルダとファイル名の固定文字列を指定する（図5の固定文字列は“TestSys”）。生成されるファイル名は『固定文字列＋日付時刻』となる。
3. Next file every（図5のB）へファイルの最大容量を指定する（図5は1MB）。
4. Ring buffer with（図5のB）へ最大ファイル数を指定する。この設定で最新のファイルからこの最大ファイル数分保存される。最大ファイルを超えた場合は古いファイルから削除される。

古いPCや性能が低いPCでモニタリングするときはパケットのキャプチャー漏れが発生する可能性があるため、モニタリング中にパケットリスト画面を表示更新させない設定をしておきます。
負荷を抑えてパケットのキャプチャー漏れを発生させないようにするのが目的です。

［手順］

1. メニューのCapture>Options（Ctrl+K）でオプション画面を開く。
2. Update list of packets in real time（下図5のC）のチェックを外す。

モニタリングする条件を設定出来ますがここでは設定しないようにします。
どうしてもファイル保存量を減らす必要があるときのみ設定します。
理由はCPUに負荷を掛けるためパケットのキャプチャー漏れが発生する可能性があるためです。
モニタリングしたログの表示時点でもFiler条件を指定出来るため無理に設定する必要はありません。

図5. ファイル保存設定と画面更新禁止設定

設定は以上です。次はモニタリングしたパケットの解析方法を説明します。

確認する量を減らすためにDisplay Filterで表示のフィルタリング設定をします。
これによりパケットを絞り込み出来ます。
例えばtcp && ip.addr == 192.168.8.1&& tcp.port==28000とすると、
TCPプロトコルかつIPアドレスが192.168.8.1かつポート番号が28000の電文のみを表示させられます。
このあとに不適合が発生した日付・時刻の付近を手掛かりにして解析するパケットを決めると効率的に解析出来ます。

図6. パケットリスト画面の表示フィルタリング設定

上記のあとパケットを解析します。
パケットリストをダブルクリックするとパケット詳細画面が開きます。
アプリケーションが送受信するフィールドはDataです。
Dataをクリックするとその下にバイト単位で表示されます。
ここでアプリケーションの仕様通りかどうかを確認出来ます。

図7. パケット詳細表示

単位時間あたりのパケット数を図8のように確認出来ます。
ここでも上記『５-１パケットの絞り込み設定』と同じくフィルターを設定することで条件別のトラフィックを見ることが出来ます。
以下に設定例を示します。

［手順］

1. メニューのStatistics>IOGraphで下記画面が開く。

図8. 単位時間あたり送受信パケット数表示

通信シーケンスを図で確認出来ます。
デフォルトでは全電文の表示になりますので下図9オプション選択により『５-１パケットの絞り込み設定』で設定したフィルター結果のみを表示させることが出来ます。
なお電文を示す矢印をクリックすると図6画面で対応するパケットが選択されます。そのパケットをダブルクリックすると図7パケット詳細表示に移行して詳細を確認することが出来ます。

［手順］

1. メニューのStatistics>FlowGraphでオプションを選択してOKを押す。
2. Graph Analysis画面が開く

図9. 通信シーケンス図表示オプション設定

図10. 通信シーケンス表示