［Windows］［WireShark］ネットワークの調査をするときの設定①

WireShark の設定はいろいろとあるし使い方にもよるのですが、私の設定を書いておきます。

時刻（Time）の表示
キャプチャ開始時刻が 0.00000 で、それからの秒の表示になっています。
それだと何時何分何秒のパケットなのかが分からないので、hh:mm:ss[.ddd] の表示にします。

１．［Edit］－［Preferences...］を選択します。
２．左側のメニューから［User interface］－［Columns］を選びます。
３．Time - Time (format as specified) を選び、Properties を変更します。
　　　Field type: Absolute date, as YYYY-MM-DD, and time

日付（YYYY-MM-DD）の表示もいらなくて時間だけあればいいという場合には Field type を Absolute time に設定します。

色の表示
パケットの収集と状況をウォッチするのであればこのカラフルな表示もいいのかもしれないですが、パケットを見ながら必要なパケットを探すのにこのカラフルな表示は邪魔にもなります。
通信の開始を探すことが多いので、SYN と SYN+ACK の２つだけに色をつけます。

１．［View］－［Coloring Rules...］を選択します。
２．あらかじめ設定されたカラールールをすべて削除。
３．［New］で［Filter］を作成する。
　　　　SYN：　　　　　tcp.flags.syn==1 and tcp.flags.ack==0
　　　　SYN+ACK：　tcp.flags.syn==1 and tcp.flags.ack==1
　　　　※これら２つにそれぞれ BackGround Color をつけておきます。

プロトコル番号の表示
デフォルトではポート番号の列がないのでこれを加えます。
Source IP Address / Port、Destination Address / Port のポート番号を表示するようにします。

１．［Edit］－［Preferences...］を選択します。
２．左側のメニューから［User interface］－［Columns］を選びます。

３．Source address の後に Src port (unresolved) を、Destination address の後に Dest port (unresolved) を追加します。

No. の表示
No. の表示も特に使うことはないので消します。

１．［Edit］－［Preferences...］を選択します。
２．左側のメニューから［User interface］－［Columns］を選びます。

３．Number を削除します。

このようになりました。

TCP 通信を行っている SYN と SYN+ACK のパケットのみに色が付いています。

時刻の表示がちゃんと書かれてます。

通信を調査する

通信を詳しく見たい時には、該当のレコードを選択して、［Follow TCP Stream］を選びます。

Stream Content が表示されます。

TCP セッションの最初の SYN パケットから最後までのデータが表示されます。

デフォルト表示だと クライアント → サーバ の通信が赤、サーバ → クライアント の通信が青となってます。（［Edit］→［Preference...］で設定できます）

調査に不要な通信だったら、［Filter Out This Stream］のボタンを押します。
これでこの通信を非表示にできます。

こうやっていらない通信を消しながら探している通信を見つけ出します。

---

Windows Tools のページに戻る