PCAPNG ファイル形式とは？
.pcapng ファイルには、ネットワーク経由でキャプチャされたデータパケットが PCAP Next Generation (PCAPNG) 形式で保存されています。.pcapng ファイルに保存されたデータパケットは、Wireshark などのネットワークプロトコルアナライザアプリケーションによって、ネットワークトラフィックの監視や管理に使用されます。PCAPNG は古い .pcap 形式を継承したもので、バージョン 1.8（2012年）から Wireshark のデフォルトの保存形式になりました。
この形式は、構造化されたフォーマット内のいくつかのタイプ別ブロックにデータを整理します。主なブロックタイプは以下の通りです：
- Section Header Block (SHB) - キャプチャセクションを開始します。エンディアンを自動検出するための Byte-Order Magic (
1A 2B 3C 4D) が含まれます。 - Interface Description Block (IDB) - 各キャプチャソースのリンクレイヤータイプとインターフェースのメタデータを記録します。
- Enhanced Packet Block (EPB) - 精密なタイムスタンプとオプションのパケットごとのフラグとともに、個々のフレームを保存します。
- Name Resolution Block (NRB) - IP アドレスをホスト名にマッピングします。
- Interface Statistics Block (ISB) - インターフェースごとのキャプチャ統計を保持します。
これらのブロックに保存された情報を利用して、キャプチャされたデータを再構成できます。ファイルはオフセット 0 のマジックバイト 0A 0D 0D 0A によって識別され、登録された MIME タイプは application/x-pcapng です。
セキュリティと安全性
リスク： MEDIUMPCAPNG ファイルはパッシブなデータであり、それ自体が実行されることはありませんが、機密性が高いものです。キャプチャには、クリアテキストのパスワード、セッションクッキー/トークン、内部 IP やホスト名、暗号化されていないトラフィックのフルペイロードが含まれる可能性があります。キャプチャは機密情報として扱い、機密性の高いものを公開のオンラインアナライザにアップロードしないでください。共有する前にはサニタイズ（情報の秘匿化）を行ってください。自身が所有または管理していないネットワークでのトラフィックキャプチャは違法となる場合があります。また、二次的な技術的リスクとして、過去に解析ツール（Wireshark のディセクタを含む）のパーサーのバグが悪意を持って作成されたキャプチャファイルによって悪用された事例があるため、Wireshark を最新の状態に保ち、信頼できないキャプチャファイルを開く際は注意してください。
形式の詳細
概要マジックバイト ・ ファイルシグネチャ
オフセット
00010203
16進数
0A0D0D0A
ASCII
····
PCAPNG ファイルは Section Header Block で始まります。最初の 4 バイトはブロックタイプ 0A 0D 0D 0A で、その後にブロックの全長が続き、オフセット 8 に Byte-Order Magic 値 1A 2B 3C 4D が現れます（ファイルがビッグエンディアンの場合はバイトスワップされます）。これにより、オフセット 0 のマジックが D4 C3 B2 A1 (リトルエンディアン) / A1 B2 C3 D4 (ビッグエンディアン) である古いクラシックな PCAP 形式と区別されます。Wireshark は両方を自動検出します。
PCAPNG ファイルを開くプログラム
Windows3 apps
Wireshark
オープンソース 「ファイル」>「開く」で .pcapng を開きます。Wireshark はすべてのプロトコルレイヤーをデコードし、フィルタリング、ストリームの追跡、パケットの検査を可能にします。 
macOS1 app
Wireshark
オープンソース 「ファイル」>「開く」で .pcapng を開きます。Wireshark はすべてのプロトコルレイヤーをデコードし、フィルタリング、ストリームの追跡、パケットの検査を可能にします。 
Linux2 apps
Wireshark
オープンソース 「ファイル」>「開く」で .pcapng を開きます。Wireshark はすべてのプロトコルレイヤーをデコードし、フィルタリング、ストリームの追跡、パケットの検査を可能にします。 
Web1 app
技術的詳細
詳細仕様| マジックバイト | バイトオフセット 0 に 0A 0D 0D 0A (Section Header Block タイプ識別子)。SHB 内のオフセット 8 にある Byte-Order Magic 1A 2B 3C 4D がファイルのエンディアンを決定します。 |
| MIME タイプ | application/x-pcapng |
| エンディアンのサポート | リトルエンディアンとビッグエンディアンの両方のファイルが有効です。リーダーは Section Header Block 内の Byte-Order Magic フィールドからバイト順を検出します。 |
| ブロックアーキテクチャ | すべてのデータは、タイプ指定され長さがプレフィックスされたブロックに保存されます。各ブロックは 32 ビットのタイプフィールドと 32 ビットの全長フィールドで始まり、自己記述的で将来の拡張が可能な形式になっています。 |
| マルチインターフェースキャプチャ | 1つのファイルで複数のネットワークインターフェースからのパケットを同時に保持でき、それぞれが独自の Interface Description Block (IDB) によって記述されます。 |
| タイムスタンプ解像度 | IDB オプションを介してインターフェースごとに設定可能です。デフォルトはマイクロ秒 (10⁻⁶ s) 精度ですが、ナノ秒 (10⁻⁹ s) 精度もサポートされています。 |
| コアブロックタイプ | Section Header (SHB), Interface Description (IDB), Enhanced Packet (EPB), Simple Packet (SPB), Name Resolution (NRB), Interface Statistics (ISB), Decryption Secrets (DSB) |
| ブロックオプション / TLV メタデータ | すべてのブロックタイプは、コメント、インターフェース名、OS の説明、カスタムベンダー拡張のための TLV エンコードされたオプションフィールドをサポートしています。 |
| リンクレイヤータイプのエンコーディング | 各 IDB 内に libpcap の LINKTYPE コード（例：LINKTYPE_ETHERNET = 1, LINKTYPE_RAW = 101）を使用して保存されます。同一ファイル内の異なるインターフェースが異なるリンクタイプを持つことも可能です。 |
| Decryption Secrets Block (DSB) | 2019年頃に導入されました。TLS や WireGuard のセッションキー（SSLKEYLOGFILE 互換）をキャプチャ内に直接埋め込み、Wireshark でのファイル内復号を可能にします。 |
| セクションの連結 | 1つのファイル内に複数の Section Header Block を連続して配置できるため、再エンコードすることなく個別のキャプチャセッションを追記できます。 |
| スナップショット長 (snaplen) | パケットごとにキャプチャされる最大バイト数は IDB でインターフェースごとに定義されます。現代のキャプチャツールでは通常 65535 バイトまたは 262144 バイトです。 |
| ネイティブ圧縮 | 形式自体には組み込まれていません。ストレージ容量を削減するために、外部で gzip 圧縮され、.pcapng.gz 拡張子で参照されるのが一般的です。 |
| リリース日 | circa 2010 (Wireshark 1.8 made it the default save format in 2012) |
| オープンスタンダード | はい · ロイヤリティフリー |
| 仕様書 | www.ietf.org |
PCAPNG の変換
可能
.PCAPNG .PCAPガイド
はい、PCAPNGはPCAPに変換できます。最も速い方法は、コマンド「editcap -F pcap in.pcapng out.pcap」を実行することです。
変換方法
.PCAPNG .CSVガイド
はい、Wiresharkを使用すれば数クリックでパケットデータをCSVにエクスポートできます。また、tsharkを使用すればコマンドラインから表示するフィールドを完全に制御して同様のことが可能です。
変換方法
.PCAPNG .JSONガイド
はい、コマンドラインから「tshark -r file.pcapng -T json」を実行すれば、すぐにJSON出力を得ることができます。
変換方法
.PCAPNG .TXTガイド
はい、PCAPNGファイルをプレーンテキストにエクスポートできます。最も早い方法は、ターミナルでtsharkコマンドを実行するか、Wiresharkで ファイル > パケット解剖をエクスポート >…
変換方法
コミュニティ Q&A
ユーザーからの質問まだ質問はありません。PCAPNG ファイルについて最初の質問をしてみましょう。
よくある質問
PCAPNG ファイルを開くにはどうすればよいですか？
Wireshark（Windows、macOS、Linux 用の無料ソフト）を使用してください。「ファイル」>「開く」から .pcapng を選択すると、すべてのプロトコルレイヤーがデコードされます。Linux/macOS では、«tshark -r file.pcapng» や «tcpdump -r file.pcapng» コマンドで読み取ることも可能です。
PCAPNG と PCAP の違いは何ですか？
PCAP は古いクラシックな libpcap 形式です。PCAPNG (next generation) は新しい Wireshark のデフォルト形式で、1つのファイルに複数のインターフェースを含めたり、ナノ秒単位のタイムスタンプ、パケットごとのコメントやメタデータを追加したりできます。Wireshark は両方の形式を開くことができます。
PCAPNG を PCAP に変換するにはどうすればよいですか？
Wireshark で「ファイル」>「名前を付けて保存」を選択し、«pcap» 形式を選択するか、コマンドラインで «editcap -F pcap in.pcapng out.pcap» を実行します。これは非可逆変換であり、PCAPNG 固有の機能（追加のインターフェース、ナノ秒単位の時間、コメントなど）は破棄されます。
ツールが .pcap を要求しているのに .pcapng しか持っていない場合はどうすればよいですか？
古いツールやシンプルなツールは、クラシックな pcap 用に作成されていることがあります。実際には多くのツールが PCAPNG というラベルがなくても読み取ることができますが、どうしても読み取れない場合は editcap や Wireshark の「名前を付けて保存」で変換してください。キャプチャされたデータ自体は、どちらの形式でも同じパケットです。
PCAPNG ファイルにパスワードやプライベートなデータが含まれることはありますか？
はい。生のトラフィックを保存するため、クリアテキストの認証情報、クッキー、暗号化されていないコンテンツなどはパケット内で確認できます。キャプチャデータは機密情報として扱い、機密性の高いものを公開のオンラインツールにアップロードしないでください。
ソフトウェアをインストールせずに PCAPNG を読み取る方法はありますか？
A-Packets のようなブラウザベースのアナライザにアップロードできます。ただし、ファイルが手元のマシンを離れるため、機密性のないキャプチャに限ってください。機密情報を含む場合は、ローカルに Wireshark をインストールして使用してください。
参考文献
1IETF OPSAWG - PCAP Next Generation (PCAPNG) Capture File Formatwww.ietf.org
2Wireshark Wiki - Development/PcapNgwiki.wireshark.org
