tsharkコマンドでLinuxのパケット解析をスクリプト化する方法｜tcpdumpとの違い・フィールド抽出・JSON出力の実践手順

この記事のポイント

・tsharkはWiresharkのCLI版でDisplay Filterが使える
・-T fields -e でフィールドを選んでCSV/TSV出力できる
・pcapファイルを読み込んでオフライン解析も可能
・root権限なしで使うにはwiresharkグループ設定が必要

# EPELリポジトリが必要（未設定の場合）
$ sudo dnf install epel-release

# wireshark-cli（tsharkとdumpcap）をインストール
$ sudo dnf install wireshark-cli

# インストール確認
$ tshark --version
TShark (Wireshark) 4.0.10

# tsharkをインストール
$ sudo apt install tshark

# インストール時に「非rootユーザーにキャプチャを許可しますか？」ダイアログが表示される
# "Yes"を選ぶとwiresharkグループが作成され、所属ユーザーがキャプチャ可能になる

# ユーザーをwiresharkグループに追加
$ sudo usermod -aG wireshark $(whoami)

# グループを即時反映（再ログインするか newgrp を使う）
$ newgrp wireshark

# 確認：グループに追加されているか
$ groups
tomohiro wheel wireshark

# dumpcapのパーミッションを確認
$ ls -l /usr/bin/dumpcap
-rwxr-xr-- 1 root wireshark 106504  ...  /usr/bin/dumpcap

$ tshark -D
1. eth0
2. lo (Loopback)
3. any
4. nflog
5. nfqueue

# eth0で5パケットだけキャプチャ
$ tshark -i eth0 -c 5
Capturing on 'eth0'
    1 0.000000000 192.168.10.5 → 192.168.10.1 TCP 74 52398 → 22 [SYN] Seq=0 Win=65535 Len=0
    2 0.000234156 192.168.10.1 → 192.168.10.5 TCP 74 22 → 52398 [SYN, ACK] Seq=0 Ack=1
    3 0.000489213 192.168.10.5 → 192.168.10.1 TCP 66 52398 → 22 [ACK] Seq=1 Ack=1
    4 0.001023456 192.168.10.1 → 192.168.10.5 SSHv2 202 Server: Key Exchange Init
    5 0.001345678 192.168.10.5 → 192.168.10.1 SSHv2 710 Client: Key Exchange Init
5 packets captured

# BPFフィルタ: ポート80のみキャプチャ（キャプチャ段階で絞り込む）
$ tshark -i eth0 -f "port 80" -c 10

# Display Filter: SYNパケットだけ表示（-Y で表示段階で絞り込む）
$ tshark -i eth0 -Y "tcp.flags.syn == 1 && tcp.flags.ack == 0" -c 10

# ポート80のGETリクエストのみ抽出（アプリケーション層フィルタ）
$ tshark -i eth0 -Y "http.request.method == "GET""

# -w でpcapファイルに保存（60秒後に自動停止）
$ tshark -i eth0 -w /tmp/capture.pcap -a duration:60

# -c でパケット数上限を指定して保存
$ tshark -i eth0 -w /tmp/capture.pcap -c 1000

# 接続元IP・接続先IP・宛先ポートをCSVで出力
$ tshark -i eth0   -T fields   -e ip.src   -e ip.dst   -e tcp.dstport   -E header=y   -E separator=,   -c 5
ip.src,ip.dst,tcp.dstport
192.168.10.5,192.168.10.1,22
192.168.10.1,192.168.10.5,
192.168.10.5,192.168.10.1,22
192.168.10.1,192.168.10.5,
192.168.10.5,192.168.10.1,22

# HTTPプロトコルのフィールド一覧を確認
$ tshark -G fields | grep "^F\s*http\." | head -20

$ tshark -i eth0   -Y "dns.flags.response == 0"   -T fields   -e frame.time_epoch   -e ip.src   -e dns.qry.name   -E separator=$'	'
1699320001.123456	192.168.10.5	api.example.com
1699320001.234567	192.168.10.5	mail.example.com
1699320002.345678	192.168.10.5	cdn.example.com

# pcapファイルから特定のフィールドを抽出
$ tshark -r /tmp/capture.pcap   -T fields   -e ip.src   -e ip.dst   -e tcp.dstport   -E header=y   -E separator=,

# JSON形式で出力してjqと組み合わせる
$ tshark -r /tmp/capture.pcap -T json   | jq -r '.[].layers.ip."ip.src"'   | sort | uniq -c | sort -rn | head -10

#!/bin/bash
# top-talkers.sh: 過去60秒間の通信先IPトップ10を集計する

INTERFACE="${1:-eth0}"
DURATION=60

echo "インターフェース: ${INTERFACE} / キャプチャ時間: ${DURATION}秒"

tshark -i "${INTERFACE}"   -a duration:${DURATION}   -T fields   -e ip.dst   2>capture-error.log   | grep -E '^[0-9]+\.'   | sort   | uniq -c   | sort -rn   | head -10   | awk '{printf "%6d パケット → %s
", $1, $2}'

$ bash top-talkers.sh eth0
インターフェース: eth0 / キャプチャ時間: 60秒
  3842 パケット → 203.0.113.10
  2156 パケット → 198.51.100.5
   891 パケット → 192.168.10.1
   524 パケット → 203.0.113.20
   312 パケット → 192.0.2.100

# ユーザーをwiresharkグループに追加して再ログイン
$ sudo usermod -aG wireshark $(whoami)
$ newgrp wireshark

# sudoで実行する場合（グループ設定の代替）
$ sudo tshark -i eth0 -c 5

# まずインターフェース一覧を確認
$ tshark -D
1. ens5
2. lo (Loopback)
3. any

# anyを指定すれば全インターフェースをキャプチャできる
$ tshark -i any -c 10

# フィルタなしでキャプチャ（まず動作確認）
$ tshark -i eth0 -c 5

# 別ターミナルからpingを打ってパケットが見えるか確認
$ ping -c 3 192.168.10.1