パケットモニター（PktMon）–Windows10に組み込まれたパケットスニファー

パケットモニター （PktMon.exe ）は、Windows101809およびWindowsServer2019で導入された組み込みのネットワークトラフィックアナライザー（スニファー）です。Windows10 May 2020 Update（バージョン2004）では、パケットモニターの多くの新機能が実装されました（リアルタイムパケットキャプチャがサポートされるようになりました。PCAPNG形式がサポートされ、Wiresharkトラフィックアナライザに簡単にインポートできます）。したがって、Windowsには、tcpdumpと同様のネットワークパケットをキャプチャする機能があります。 、およびシステムまたはネットワーク管理者は、これを使用してネットワークの動作とパフォーマンスを診断できます。

パケットモニターを使用すると、ネットワークパケットレベルでコンピュータのネットワークインターフェイスを通過するすべてのネットワークアクティビティを取得できます。

Ealier、netsh trace コマンドは、Windowsでネットワークトラフィックをキャプチャし、パケットを検査するために使用されました。

pktmon.exeでヘルプを入手できます コマンドプロンプトでツールを実行することによるオプションと構文。

基本的なパケットモニターコマンドは次のとおりです。

• フィルター -パケットフィルターを管理する
• comp –登録済みコンポーネントの管理
• リセット -パケットカウンタをリセットします
• 開始 –パケット監視を開始します
• 停止 -パケット監視を停止します
• フォーマット –トラフィックログファイルをテキスト形式に変換します
• pcapng –pcapng形式に変換
• アンロード –PktMonドライバーをアンロードします

サブコマンドのヘルプを表示するには、その名前を入力します：

pktmon filter

Windows10デバイスで実行中のサービスに着信するトラフィックのダンプを収集してみましょう。 FTP（TCPポート20、21）およびHTTP（ポート80および443）トラフィックを分析するとします。

TCPポートのパケットフィルターを作成します（また、UDPおよびICMPトラフィックを追跡できます）：

pktmon filter add -p 20 21
pktmon filter add HTTPFilter –p 80 443

アクティブなフィルターのリストを表示します：

pktmon filter list

バックグラウンドトラフィックキャプチャを実行するには、次のコマンドを実行します：

pktmon start –etw

Log file name: C:\Windows\System32\PktMon.etl
Logging mode: Circular
Maximum file size: 512 MB
Active measurement started.

このモードでは、pktmonはすべてのネットワークインターフェイスからデータを収集しますが、パケットの最初の128バイトのみがログに記録されます。特定のコンピュータインターフェイスでパケットを完全にキャプチャするには、次のコマンドを使用します。

pktmon start --etw -p 0 -c 9

ここでc valueは、次のコマンドを使用して取得できるネットワークインターフェイスのIDです。

pktmon comp list

パケットフィルターは、C:\Windows\System32\PktMon.etlに設定したフィルターに一致するすべてのトラフィックを書き込みます （最大ファイルサイズは512 MBです）。ダンプの記録を停止するには、次のコマンドを実行します。

pktmon stop

また、Windowsの再起動後、ネットワークパケットの収集が停止します。

次に、トラフィックダンプファイルをETLからプレーンテキスト形式に変換できます。

pktmon format PktMon.etl -o c:\ps\packetsniffer.txt

または

pktmon PCAPNG PktMon.etl -o c:\ps\packetsniffer.pcapng

トラフィックダンプをテキスト形式で分析するか、ETLファイルを管理者のコンピュータにインストールされているMicrosoft Network MonitorまたはWireShark（PCAPNG形式）にインポートできます。

作成したすべてのパケットモニタフィルタを削除するには、次のコマンドを実行します。

pktmon filter remove

PktMonを使用して、ネットワークトラフィックをリアルタイムで追跡できます。これを行うには、-l real-timeを使用します パラメータ。このモードでは、キャプチャされたパケットはコンソールに表示され、バックグラウンドでログファイルに書き込まれません。

pktmon start --etw -p 0 -l real-time

トラフィックの収集を停止するには、Ctrl+Cを押します 。

ネットワークインターフェイスでパケット損失（ドロップ）が発生した場合、PacketMonは理由を示します（たとえば、MTUまたはVLANが正しくない）。

拡張機能を使用して、WindowsAdminCenterでPktMonを使用することもできます。ネットワークの問題を診断するときにコンピューターまたはサーバーから収集したデータは、MicrosoftNetworkMonitorやWiresharkなどのネットワークトラフィックを分析するより強力なソフトウェアで使用される場合があります。