Microsoft Message Analyzer の紹介シリーズ・２回目です。 2015/10/19開催・第33回「ネットワークパケットを読む会(仮)」での発表スライドです。

1. Message Analyzer 再入門 【2】
Murachi Akira aka hebikuzure
This work is licensed under a Creative Commons Attribution-NonCommercial-NoDerivatives 4.0 International
License.

2. About me
 村地 彰 aka hebikuzure
 http://www.murachi.net/
 http://www.hebikuzure.com/
 https://hebikuzure.wordpress.com/
 Microsoft MVP(元 Internet Explorer)Apr. 2011 ～
現 Visual Studio and Development Technologies
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #332

3. 好きなパケット
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #333
SMB / SMB2 / SMB3

4. Microsoft Message Analyzer の入手と情報
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #334
 ダウンロード ページ
http://www.microsoft.com/en-
us/download/details.aspx?id=44226
 最新版は ver. 1.3.1 (2015/7/30 リリース)
 Message Analyzer Blog
http://blogs.technet.com/b/messageanalyzer/
 サポート フォーラム
https://social.msdn.microsoft.com/Forums/windowsdes
ktop/
en-us/home?forum=messageanalyzer

5. 前回のおさらい
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #335

6. ETW = Event Tracing for Windows
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #336
 Windows のコンポーネントに対してトレース ログを出力
させる仕組み
 Window のコンポーネント以外のカーネルモード/ユー
ザーモード ドライバー、ユーザーモード アプリケーション
でも実装可能
 Checked Build によるデバッグ プリントより高速でモ
ジュール本来の動作に与える影響が少ない
 動的な有効化/無効化が可能
 出力されるログはバイナリ データ
 表示/解析にはツールが必要

7. ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #337
http://blogs.msdn.com/b/jpwdkblog/archive/2011/12/27/event-tracing-for-windows-etw.aspx より

8. ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #338
トレース採取対象の
ドライバー
アプリケーション
トレース有効化/無効化

9. ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #339
トレース データの配信
セッションの作成/管理

10. ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3310
トレースの配信

11. ETW の仕組み
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3311
Message Analyzer

12. 参考資料
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3312
 ETW へのご招待
http://blogs.msdn.com/b/tsmatsuz/archive/2008/01/2
3/etw.aspx
 Event Tracing for Windows (ETW)
http://blogs.msdn.com/b/jpwdkblog/archive/2011/12/
27/event-tracing-for-windows-etw.aspx
 FAQ: Common Questions for ETW and Windows Event Log
https://social.msdn.microsoft.com/Forums/ja-JP/a1aa1350-
41a0-4490-9ae3-9b4520aeb9d4/faq-common-questions-
for-etw-and-windows-event-log
 Event Tracing for Windows (ETW) Simplified
https://support.microsoft.com/en-us/kb/2593157

13. ETW で「ネットワーク トレース」
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3313
 プロバイダ「Microsoft-Windows-NDIS-
PacketCapture」のトレースを採取する
 Windows 8 以降から利用可能なプロバイダ
 Network Monitor と同等のパケット キャプチャが可能

14. NDIS
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3314
 Network Driver Interface Specification
 %SystemRoot%System32DriversNdis.sys
http://blogs.msdn.com/b/jpwdkblog/archive/2010/08/31/windows-network-driver.aspx

15. WFP のプロバイダーを利用する
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3315

16. NDIS-PacketCapture プロバイダの問題
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3316
 Windows 7 以前では利用できない
 プロバイダを有効にするために管理者権限が必要
※ Message Analyzer から利用する場合、Message
Analyzer を「管理者として実行」する必要がある
 ループバック インターフェイス (Localhost / 127.0.01)
のキャプチャができない

17. Microsoft-pef-WFP-MessageProvider
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3317
 Windows フィルタリング プラットフォーム (WFP) の
ETW プロバイダー
 WFP :ネットワーク フィルタリング アプリケーションを作
成するためのプラットフォームを提供する API およびシ
ステム サービスのセット
https://msdn.microsoft.com/ja-
jp/library/aa366510.aspx

18. WFP のメリット
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3318
 Windows 7 / Windows Server 2012 でも利用できる
(NDIS は Windows 8 / Windows Server 2012 R2 以
降)
 管理者権限が無くてもキャプチャできる
(NDIS でのキャプチャには管理者権限が必要)
 Loopback インターフェイスのキャプチャができる
(NDIS では Loopback のキャプチャはできない)

19. Loopback のみキャプチャする
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3319
 Trace Scenario の中に「Local Loopback Network」が
ある
 プロバイダーはMicrosoft-pef-WFP-MessageProvider
 IPv4 / IPv6 ともに InBound のみキャプチャ
 IP アドレス 127.0.0.1 / ::1 でフィルタリング

20. WFP のデメリット
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3320
 キャプチャしたデータの形式が一般的なパケット キャプ
チャ ツールと異なる
 (参考: NDIS でキャプチャした場合)
 CAP 形式にエクスポートできない
 Ethernet フレーム情報が無いため

21. NDIS と WFP の使い分け
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3321
 可能であれば NDIS で採取した方がよい
 Windows 7 の場合、管理者権限がない場合は WFP

22. 参考情報
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3322
 Selecting Data to Capture
https://msdn.microsoft.com/ja-
jp/library/office/dn799002
 PEF-WFP Layer Set Filters
https://msdn.microsoft.com/ja-
jp/library/office/jj729732

23. リモート キャプチャ
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3323

24. リモート コンピューターの追加
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3324
 [New Session] – [Target Computers] で [Edit]
 [Add] で新しいコンピューターを追加

25. リモート コンピューターの指定
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3325
 コンピュータ名 / ユーザー名 / パスワードを指定
 NDIS プロバイダーの利用権限のあるユーザーを指定する
 Localhost は [Delete] で削除

26. リモート キャプチャの実行
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3326

27. 参考情報
2015/9/28© 2015 Murachi Akira - CC BY-NC-ND - #pakeana #3327
 Capturing Data Remotely
https://technet.microsoft.com/en-us/library/dn386835
 Microsoft Message Analyzer Operating Guide
https://technet.microsoft.com/en-us/library/jj649776