PCAP ファイル

.pcap は、ネットワークトラフィックの監視に使用されるバイナリファイル形式です。Wireshark などの「スニッファー」がライブパケットデータをキャプチャし、それを .pcap ファイルに保存します。PCAP ファイルを使用すると、リアルタイムモードとは対照的に、特定のキャプチャセッションのネットワークトラフィックをオフラインモードで検査できます。ネットワークトラフィックの分析と監査は、ネットワークパフォーマンスの最適化やサイバー攻撃の防止を促進する不可欠な慣行です。

この形式は libpcap/tcpdump プロジェクトに由来し、パケットキャプチャ保存の事実上の標準となっています。各ファイルは 24 バイトのグローバルヘッダーで始まり、そのマジックナンバー（リトルエンディアンのバイト順で D4 C3 B2 A1）がファイルを識別し、読み取りツールにバイト順を通知します。公式の MIME タイプは application/vnd.tcpdump.pcap です。より新しい後継形式である .pcapng は、複数のインターフェース、メタデータブロック、およびコメントのサポートを追加しています。Wireshark は開く際に両方の形式を自動検出します。

スニッファーとは何ですか？

スニッファーは、ネットワークトラフィックをキャプチャして分析できるソフトウェアツールの一種です。このツールは、ネットワークインターフェースを「プロミスキャス（無差別）」モードに切り替えることで、特定のネットワーク上のトラフィックを「傍受」し、そのインターフェース宛てではないデータを含むすべてのトラフィックを表示できるようにします。ルーターやネットワークに接続されたコンピュータでスニッファーを実行する場合、プロミスキャスモードは必要ありません。「スニッファー」は、ネットワークトラフィックの監視に使用される電子機器を指すこともあります。

Wireshark

Wireshark は、Windows、Linux、および macOS で利用可能な無料のオープンソーススニッファーツールです。その豊富な機能により、プロの IT およびセキュリティチーム、ならびに個人のユーザーによって使用される最も人気のあるネットワークトラフィック分析ツールとなっています。2006 年 5 月に Wireshark に改名されるまでは、Ethereal がこのツールの元の名称でした。コマンドライン版の tshark や古典的な Unix ツールである tcpdump も .pcap ファイルをネイティブに読み書きするため、この形式はプラットフォームを問わず普遍的にサポートされています。