Linuxサーバーにおけるtcpdumpでのパケットキャプチャ：実務で使えるフィルタリングと解析手法の解説

Linuxサーバーの管理や運用において、ネットワークトラブルの解決やセキュリティインシデントの調査は避けて通れない課題です。

ネットワーク上を流れるデータを直接確認するための強力なツールとして、tcpdumpは長年エンジニアに愛用されてきました。

本記事では、Linuxサーバーにおけるtcpdumpを利用したパケットキャプチャの基本から、実務で役立つ高度なフィルタリング手法、そして解析のポイントについて詳しく紹介します。

コマンドラインで動作するこのツールを使いこなすことで、複雑な通信のボトルネックや不正なアクセスの兆候を的確に捉えることが可能になります。

tcpdumpの概要とセキュリティにおける重要性

tcpdumpは、ネットワークインターフェースを通過するパケットをリアルタイムでキャプチャし、その内容を表示またはファイルに保存するためのコマンドラインツールです。

多くのLinuxディストリビューションに標準搭載されており、GUI環境を持たないサーバー環境においても、最小限のリソースで動作させることができます。

セキュリティの観点において、パケットキャプチャはログだけでは判別できない詳細な挙動を確認するために不可欠です。

例えば、アプリケーション層のログに記録されない低レイヤーの通信エラーや、プロトコルの脆弱性を突いた攻撃などを直接観測することができます。

パケットレベルの可視化を実現することで、未知の脅威に対する迅速な対応や、確実なエビデンスの確保が可能となります。

ただし、tcpdumpは非常に強力なツールであるため、実行には管理者権限（root権限）が必要であり、その取り扱いには十分な注意が求められます。

tcpdumpの基本的な動作原理

tcpdumpは、BPF（Berkeley Packet Filter）と呼ばれる仕組みを利用して、カーネルレベルでパケットのフィルタリングを行います。

これにより、膨大なトラフィックの中から特定の条件に合致するパケットだけを効率的に抽出することができます。

キャプチャされたデータは、そのまま標準出力に表示することも、後述するPCAP形式のファイルとして保存することも可能です。

基本的な使用方法と主要なオプション

まずは、tcpdumpをインストールし、基本的なパケットキャプチャを開始する方法を確認しましょう。

多くの環境では標準でインストールされていますが、存在しない場合はパッケージマネージャーから導入します。

# Debian/Ubuntu系の場合
sudo apt update && sudo apt install tcpdump -y

# RHEL/AlmaLinux系の場合
sudo dnf install tcpdump -y

インストールが完了したら、まずは現在のサーバーで利用可能なインターフェースを確認します。

tcpdump -D

1.eth0 [Up, Running, Connected]
2.any (Pseudo-device that captures on all interfaces) [Up, Running]
3.lo [Up, Running, Loopback]

もっとも基本的な実行コマンドは、インターフェースを指定して実行する形式です。

特定のインターフェースを指定せずに実行すると、デフォルトのインターフェースが自動的に選択されますが、明示的に指定することが推奨されます。

sudo tcpdump -i eth0

実務で多用されるコマンドオプション

生のパケットデータは情報量が多すぎるため、オプションを組み合わせて出力を調整するのが一般的です。

よく使われるオプションを以下の表にまとめました。

実務では、DNS逆引きによる遅延を防ぐために-nや-nnオプションを付与することが強く推奨されます。

実務で使えるフィルタリングテクニック

サーバー上を流れる全パケットを表示させると、必要な情報を見失うだけでなく、システムのパフォーマンスを低下させる恐れがあります。

tcpdumpの真価は、詳細なフィルタリング式を利用して必要なパケットのみを絞り込む点にあります。

ホストやネットワークによる絞り込み

特定のサーバーとの通信のみを調査したい場合は、hostキーワードを使用します。

sudo tcpdump -i eth0 host 192.168.1.100

送信元（src）または送信先（dst）を個別に指定することで、さらに詳細な制御が可能です。

sudo tcpdump -i eth0 src 192.168.1.50

特定のネットワークセグメント全体を対象にする場合は、netキーワードを用います。

sudo tcpdump -i eth0 net 10.0.0.0/24

ポート番号とプロトコルによる絞り込み

Webサーバーへの通信を調査する場合は、ポート番号を指定します。

sudo tcpdump -i eth0 port 80 or port 443

プロトコル名（tcp, udp, icmpなど）を直接指定して、特定の種類のパケットのみを表示させることも可能です。

sudo tcpdump -i eth0 icmp

論理演算子による複雑なフィルタリング

複数の条件を組み合わせるには、and、or、notを使用します。

例えば、「ホスト192.168.1.100との通信のうち、SSH（ポート22）以外の通信」を表示させるには以下のように記述します。

sudo tcpdump -i eth0 host 192.168.1.100 and not port 22

複雑な条件式を記述する場合は、条件を括弧( )で囲む必要がありますが、シェルによる解釈を防ぐためにバックスラッシュでエスケープするか、引用符で囲む必要があります。

sudo tcpdump -i eth0 "src 192.168.1.10 and (port 80 or port 443)"

高度な解析手法：TCPフラグの特定

セキュリティ調査において、パケットの中身だけでなく、通信の状態を示すTCPフラグを確認することは極めて重要です。

tcpdumpでは、パケットヘッダーの特定ビットをチェックすることで、特定の接続状態にあるパケットを抽出できます。

SYNパケットの抽出（接続試行の検知）

新しい接続の開始を検知したい場合、SYNフラグが立っているパケットを探します。

sudo tcpdump -i eth0 'tcp[tcpflags] & tcp-syn != 0'

このフィルタリングは、ポートスキャンの兆候を調査する際や、外部からの不自然な接続要求を監視する際に非常に役立ちます。

RSTパケットの抽出（接続の強制切断）

通信が意図せず切断されている原因を探るには、RSTフラグを確認します。

sudo tcpdump -i eth0 'tcp[tcpflags] & tcp-rst != 0'

RSTパケットが多発している場合、ファイアウォールによる遮断やアプリケーションの異常終了が発生している可能性が考えられます。

データのペイロード（内容）を確認する

プロトコルの内容をデバッグする場合、-Aオプションを使用してパケットの中身をASCII形式で表示させます。

HTTPのリクエストヘッダーなどを素早く確認するのに適しています。

sudo tcpdump -i eth0 -An port 80

実務シナリオ別の解析テクニック

ここでは、実際の運用現場で遭遇する可能性の高いシナリオに基づいたtcpdumpの活用例を紹介します。

DNS解決の失敗を調査する

サーバーが外部の名前解決に失敗している場合、UDP 53番ポートの通信を監視します。

sudo tcpdump -i eth0 udp port 53

応答が返ってきていないのか、それともエラー応答が返ってきているのかを切り分けることができます。

特定のHTTPメソッドのみを抽出する

パケットのバイナリ値を直接指定することで、特定の文字列を含む通信を検索できます。

例えば、HTTPの「GET 」リクエスト（47 45 54 20）を抽出するコマンドは以下の通りです。

sudo tcpdump -i eth0 -s 0 -A 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'

このような高度なフィルタリングを使いこなすことで、ログが不十分な環境でも通信の実態を解明できます。

不要なトラフィックの除外（ノイズ除去）

SSHでサーバーに接続してtcpdumpを実行すると、自分自身のSSH通信がキャプチャされ、画面が埋め尽くされてしまうことがあります。

これを防ぐために、自身のIPアドレスやポートを除外するフィルタを常に設定しておくのが実務のコツです。

sudo tcpdump -i eth0 not port 22

パケットデータの保存と外部ツールでの詳細解析

サーバー上で長時間キャプチャを行う場合や、後で詳細に分析したい場合は、結果をファイルに保存します。

バイナリ形式であるPCAPファイルとして保存することで、情報の欠落を防ぎ、解析ツールでの再利用が可能になります。

ファイルへの書き込みと読み込み

-wオプションでファイル名を指定します。

sudo tcpdump -i eth0 -w traffic.pcap

保存したファイルは、-rオプションでtcpdump自身から読み取ることができます。

tcpdump -r traffic.pcap

読み取り時にもフィルタリング式を適用できるため、一度大きなファイルを保存してから、特定の条件で絞り込み直すといった運用が可能です。

Wiresharkとの連携

tcpdumpで取得したPCAPファイルは、GUIベースの高機能解析ツールであるWiresharkで開くことができます。

Wiresharkを使用することで、シーケンス図の表示や、暗号化されていないプロトコルのストリーム再構築などが視覚的に行えます。

サーバー上でキャプチャし、手元のクライアントPCのWiresharkで解析するというのが、プロフェッショナルな現場での一般的な流れです。

パフォーマンスへの影響とセキュリティの注意点

tcpdumpの利用にあたっては、サーバー負荷とセキュリティリスクの管理が欠かせません。

CPUとディスク容量の管理

高トラフィックなサーバーで全パケットをキャプチャすると、CPU使用率が急上昇し、サービスの応答速度に悪影響を及ぼすことがあります。

また、ディスクへの書き出しを行う場合は、数分間で数GBの容量を消費することもあるため注意が必要です。

回避策として、-cオプションで取得数を制限するか、キャプチャ対象を厳密にフィルタリングするようにしてください。

機密情報の取り扱い

パケットキャプチャには、暗号化されていないパスワードや個人情報、APIキーなどが含まれる可能性があります。

取得したデータの取り扱いには十分な配慮が必要であり、不要になったファイルは速やかに削除するか、適切なアクセス制限を設けるべきです。

また、不必要にパケットの内容を表示せず、ヘッダー情報のみをキャプチャする（-sオプションでサイズを小さくする）ことも有効な手段です。

まとめ

Linuxサーバーにおけるtcpdumpでのパケットキャプチャは、ネットワークインフラの健全性を保つための基本スキルです。

単にパケットを表示するだけでなく、フィルタリング機能を駆使して必要な情報にフォーカスすることで、トラブルの原因究明を大幅にスピードアップできます。

今回紹介した各種オプションやTCPフラグの解析手法を活用し、実務におけるネットワーク診断の精度を高めてください。

また、ツールの実行時にはシステムへの負荷やデータの機密性に配慮し、安全に運用することを忘れないようにしましょう。

tcpdumpを自在に扱えるようになることは、熟練したエンジニアへの第一歩であり、セキュリティ検証の質を向上させる鍵となります。