【Wireshark】よく使用する表示フィルタ

Wireshark でキャプチャデータを見るときは、膨大なパケットの中から条件に合うパケットだけを取り出してから解析することがよくあります。Wireshark の表示フィルタを使うと、プロトコルやフィールドの値を条件に、表示するパケットを絞り込めます。

この記事では、よく使う表示フィルタの条件と、解析に便利な列（カラム）のカスタマイズをまとめます。

表示カラムの変更

既定では、パケット一覧の列は No.、Time、Source、Destination、Protocol、Length、Info です。この列はカスタマイズできます。

たとえば、TCP の送信元ポートを列に追加するとします。パケットの詳細で列にしたいフィールドを右クリックし、Apply as Column をクリックします。

▾ Transmission Control Protocol, Src Port: 443, Dst Port: 49348, Seq: 1, Ack: 1, Len: 1471    Source Port: 443    Destination Port: 49348    [Stream index: 0]    [TCP Segment Len: 147]

以降のフィルタの例では、フィルタの対象にしたフィールドを列に追加して確認しています。

表示フィルタは、パケット一覧の上にある表示フィルタのツールバーに条件を入力し、Enter キーで適用します。正しい構文なら入力欄の背景が緑になります。

組み合わせ・除外条件

例の IP アドレスや MAC アドレスは、説明用の値にしています。

AND条件（ && ）

複数の条件を AND（かつ）でつなぐには &&（または and）を使います。送信元 IP アドレスが 192.168.1.10 で、かつ TCP の宛先ポートが 443 のパケットを表示する場合は次のように書きます。

(ip.src == 192.168.1.10) && (tcp.dstport == 443)

OR条件（ || ）

複数の条件を OR（または）でつなぐには ||（または or）を使います。送信元 IP アドレスが 192.168.1.10、もしくは TCP の宛先ポートが 443 のパケットを表示する場合は次のように書きます。

(ip.src == 192.168.1.10) || (tcp.dstport == 443)

除外（ ! ）

特定の条件を除外したいときは、条件の前に !（または not）を付けます。送信元 IP アドレスが 192.168.1.10 でないパケットを表示する場合は次のように書きます。

!(ip.src == 192.168.1.10)

MACアドレス

特定のベンダーのMACアドレス

MAC アドレスの先頭3バイトは、ベンダーを表す OUI です。送信元 MAC アドレスのベンダーが Apple, Inc.（6c:96:cf）のパケットを表示する場合は、送信元 MAC アドレスの先頭から3バイトを取り出して比べます。[0:3] は「0バイト目から3バイト分」という意味です。

eth.src[0:3]==6c:96:cf

宛先MACアドレスがブロードキャスト もしくは マルチキャスト（eth.ig）

MAC アドレスの最初のオクテット（1バイト目）の最下位ビットを I/G ビットといい、このビットが 1 のアドレスはブロードキャストかマルチキャストのアドレスです。I/G ビットは、MAC アドレスを書いたときの1バイト目の、2進数でいちばん右のビットにあたります。

詳細は次の記事を参考にしてください。

>> 参考記事：【マルチキャスト】MACアドレスへのマッピング

eth.ig == 1

宛先MACアドレスがマルチキャストのみ

宛先 MAC アドレスがマルチキャストのものだけを表示したい場合は、I/G ビットが 1 のもののうち、ブロードキャストアドレス（ff:ff:ff:ff:ff:ff）を除きます。

(eth.ig == 1) && !(eth.dst==ff:ff:ff:ff:ff:ff)

IPアドレス

アドレスを用いたフィルタ

IP アドレスのあとに /プレフィックス長 を付けると、セグメント（ネットワーク）単位で絞り込めます。

フラグを用いたフィルタ

DFビット（ip.flags.df）

IP ヘッダの DF（Don’t Fragment）ビットが立っているパケットを表示します。DF ビットが立っているパケットは、途中のルータでフラグメント（分割）できません。

ip.flags.df == 1

ARP

同じセグメントの中で、通信相手の IP アドレスから MAC アドレスを調べるのに ARP（Address Resolution Protocol）を使います。ARP にはリクエストとリプライがあります。詳細は次の記事を参考にしてください。

>> 参考記事：初心者向けARP解説：仕組みをCiscoルータでわかりやすく解説

ICMP

ICMP（Internet Control Message Protocol）は、ネットワークの診断やエラーの通知に使うプロトコルです。ICMP のメッセージはタイプとコードで区別します。詳細は次の記事を参考にしてください。

>> 参考記事：【初心者わかりやすく】ICMPを詳しく解説

TCP

TCP は、通信を始める前の3ウェイハンドシェイク、ACK による受信確認、パケットの再送などで、信頼性を確保するプロトコルです。TCP の詳細は次の記事も参考にしてください。

>> 参考記事：【初心者わかりやすく】TCP通信の確立と終了シーケンス
>> 参考記事：【トラブルシューティング】TCP状態遷移の解説
>> 参考記事：【TCP】シーケンス番号とACK番号について解説

TCP通信すべて（tcp）

tcp

ポート番号を用いたフィルタ

TCPの動的ポート範囲

送信元 TCP ポートが動的ポート（エフェメラルポート）の範囲（49152〜65535）のパケットを表示する場合は、大小の比較を組み合わせます。

(tcp.srcport >= 49152) && (tcp.srcport <= 65535)

MSS（Maximum Segment Size）

MSS は、TCP ヘッダを除いたデータ部分の最大サイズです。それぞれの端末が、TCP の接続を確立するとき（SYN、SYN/ACK）に、TCP オプションで自分が受け取れる MSS を相手に伝えます。

フラグを用いたフィルタ

tcp.flags はフラグ全体の値です。FIN が 0x001、SYN が 0x002、RST が 0x004、PSH が 0x008、ACK が 0x010 なので、「SYN だけ」「ACK だけ」のように、ほかのフラグが立っていないことまで条件にしたいときに使います。

TCPシーケンス

TCP Analysis

Wireshark は TCP のシーケンス番号と ACK 番号を追跡し、再送や順序の入れ替わりなど、注意が必要なパケットに TCP Analysis のフラグを付けます。フラグが付いたパケットをまとめて表示するには次のように書きます。

tcp.analysis.flags

代表的なフラグと、そのフラグだけを表示するフィルタは次のとおりです。

ZeroWindow は、ウィンドウサイズと RST フラグの条件で (tcp.window_size == 0) && (tcp.flags.reset != 1) と書くこともできます（RST のパケットはウィンドウ 0 になることがあるので除いています）。

再送や重複 ACK の仕組みは、【Wireshark】TCP解析（Retransmission/Dup ACK など） で詳しく解説しています。

TCPセグメンテーション

送信側は、MSS より大きなデータを送るとき、MSS 以下の大きさに分割（TCP セグメンテーション）して送ります。Wireshark は、分割されたセグメントを組み立て直して、上位のプロトコル（TLS など）のデータとして表示します。組み立て直したデータを含むパケットを表示するには次のように書きます。

tcp.reassembled.data

  Transmission Control Protocol, Src Port: 443, Dst Port: 49765, Seq: 35565, Ack: 1227, Len: 13701▾ [3 Reassembled TCP Segments (2732 bytes): #18205(32), #18213(1370), #18214(1330)]      [Frame: 18205, payload: 0-31 (32 bytes)]      [Frame: 18213, payload: 32-1401 (1370 bytes)]      [Frame: 18214, payload: 1402-2731 (1330 bytes)]      [Segment count: 3]2      [Reassembled TCP length: 2732]

TCPシーケンス疑義

TCP Analysis のフラグが付いたもののうち、Window Update を除いて、シーケンス上の問題が疑われるパケットだけを表示する場合は次のように書きます。

(tcp.analysis.flags) && !(tcp.analysis.window_update)

UDP

UDP はコネクションレス型のプロトコルで、TCP のような再送による信頼性の確保はしない代わりに、軽く速く通信できます。

DNS

DNS は、ホスト名と IP アドレスを相互に変換（名前解決）するプロトコルです。DNS クライアントが DNS サーバにクエリーを送り、DNS サーバが結果をレスポンスとして返します。

トランザクションID

特定の DNS クエリーとレスポンスの組だけを表示したい場合は、Transaction ID で絞り込みます。対象の DNS クエリーの Transaction ID を右クリックし、Apply as Filter ›› Selected をクリックします。

▾ Domain Name System (query)1    Transaction ID: 0x0109  › Flags: 0x0100 Standard query    Questions: 1

DNSレスポンス内の名前

www.yahoo.co.jp についてのレスポンスを表示する場合は次のように書きます。

dns.resp.name == www.yahoo.co.jp

DNSの応答時間

通信が遅いときは、DNS のレスポンスが遅れている可能性があります。任意の DNS レスポンスの詳細にある [Time: …] を右クリックし、Apply as Column で列に追加します。クエリーに対するレスポンスまでの時間（秒）が表示されます。

この列のフィールドは dns.time なので、dns.time > 0.1 のように書くと、応答に 100ms 以上かかったレスポンスだけを表示できます。

HTTP

HTTP は、Web サーバとブラウザの間で情報をやりとりするプロトコルです。ブラウザが HTTP リクエストを送り、Web サーバがレスポンスを返します。

http.request では、SSDP（Simple Service Discovery Protocol、UDP 1900 番）のリクエストも表示されます。SSDP は HTTP の形式のメッセージを UDP で送るためです。SSDP を除くには次のように書きます。

(http.request) and !(udp.port eq 1900)

接続先ホスト

HTTP のパケットを見るときは、どのホストへ接続しているかが表示されていると便利です。任意のリクエストの詳細で、HTTP ヘッダの Host を右クリックし、Apply as Column で列に追加します。

特定のホストだけを表示する場合、たとえば www.yahoo.co.jp だけなら次のように書きます。

http.host == www.yahoo.co.jp

TLS

TLS（Transport Layer Security）は HTTPS などで使われる暗号化のプロトコルです。HTTP のリクエストやレスポンスの中身は暗号化されるので、Wireshark でもそのままでは見えません。

接続先サーバ

TLS のパケットを見るときも、どのサーバへ接続しているかが表示されていると便利です。任意の Client Hello の詳細で、Server Name Indication 拡張の Server Name を右クリックし、Apply as Column で列に追加します。

特定のサーバだけを表示したい場合は次のように書きます。

tls.handshake.extensions_server_name == www.yahoo.co.jp

HTTP と HTTPS が混在する環境で、どのホストやサーバへ接続しているかをまとめて確認するには、HTTP リクエストと Client Hello を OR でつなぎ、SSDP を除きます。

(http.request or tls.handshake.type == 1) and !(udp.port eq 1900)

まとめ

よく使うフィールドは列に追加しておくと、フィルタの結果を確かめやすくなります。フィールド名がわからないときは、パケットの詳細でそのフィールドを右クリックして Apply as Filter を使うと、フィルタが自動で作られます。

Wireshark の関連記事：【Wireshark】キャプチャ取得するパケットをフィルタする ／ 【Wireshark】キャプチャファイルの保存（長時間取得） ／ 【Wireshark】TCP解析（Retransmission/Dup ACK など）
その他の Wireshark の記事は Wireshark カテゴリ から参照できます。