Wireshark.

Wireshark は、1998 年に Gerald Combs が Ethereal という名で開発し、現在は Wireshark Foundation の下で世界中の開発者コミュニティが維持する、業界を代表するオープンソース パケット アナライザーです。有線、無線、USB などのインターフェースからライブ トラフィックを取得し、Ethernet や TCP/IP から産業制御、暗号通信まで数千種のプロトコルをデコードします。ネットワーク エンジニア、ブルー チーム、マルウェア アナリスト、脅威ハンターが、性能問題の診断、ファイアウォールの検証、攻撃タイムラインの再構築、そしてパケット キャプチャ(PCAP)からのファイル抽出などに利用します。

内部的には、Wireshark は libpcap/Npcap を使ってフレームを取得し、それぞれをプロトコル ディセクタ(解析器)のチェーンに通します。これらのディセクタは攻撃者が完全に制御できる入力を解析するため、脆弱性の恒常的な発生源となっています。2024 年だけでも、CVE-2024-2955(T.38 ディセクタのクラッシュ、CVSS 7.5)、CVE-2024-9780(ITS ディセクタ)、CVE-2024-9781(AppleTalk/RELOAD フレーミング)が公表され、いずれも細工したキャプチャ ファイルや注入したパケットによってサービス拒否を引き起こせます。実践上の教訓は、信頼できない PCAP を本番ホストで決して開かないことです。使い捨ての VM 内で tshark を使って解析し、ツールにパッチを当て続け、root での実行を避けます(Wireshark はまさにこの理由から、キャプチャを独立した dumpcap プロセスに隔離しています)。表示フィルター(http.request、tcp.stream eq 3、ip.addr == …)や Follow TCP Stream / Export Objects を使えば、生のキャプチャを読みやすいセッションや復元されたファイルへと変換できます。自分が所有も管理もしていないネットワークでのキャプチャは盗聴・プライバシー法に違反する場合があり、必ず許可を取得する必要があります。

flowchart LR
  A[ネットワーク インターフェース] --> B[libpcap / Npcap]
  B --> C[dumpcap キャプチャ エンジン]
  C --> D[キャプチャ ファイル / ライブ バッファ]
  D --> E[ディセクタ チェーン<br/>Ethernet - IP - TCP - app]
  E --> F[表示フィルター]
  F --> G[パケット一覧と詳細表示]
  G --> H[ストリーム追跡 / オブジェクト エクスポート]