PCAP アナライザー
パケットキャプチャ（.pcap または .pcapng）をドロップすると、最初の10分間のビューが得られます。バイトを運んだ会話、すべての DNS の質問と回答、平文の HTTP リクエスト、TLS サーバー名と JA3 フィンガープリント、そして暗号化されずに回線を渡った認証情報の短いリストです。ファイルはあなたのデバイスから決して離れません。このページ内で解析され、アップロードされません。キャプチャは証拠であり、証拠を見知らぬ人のサーバーに投稿するものではないからです。
ファイルをこのボックス内のどこにでもドロップすることもできます。解析は進捗表示付きでチャンク単位に行われるため、数メガバイトのキャプチャでもタブが固まりません。
概要
平文認証情報の警告
これらは、このアナライザーが認識するパターンの目撃情報です — HTTP Basic 認証、FTP、SMTP AUTH、POP3 と IMAP のログイン、telnet です。何も見つからないことは何の証明にもなりません。認証情報は、このツールが検査しないプロトコルやエンコーディングの中も移動するからです。それもファイルがあなたのマシンに留まった理由の一つです。
会話
| プロトコル | 送信元 | 宛先 | A → B パケット | B → A パケット | パケット | バイト | 初出 |
|---|
A はキャプチャの中で最初に発言したエンドポイントです。列見出しをクリックすると並べ替えられます。既定の順序はバイト順です。トリアージはデータを運んだ者から始まるからです。
DNS
HTTP リクエスト（平文）
TLS ClientHello メタデータ
侵害指標（IOC エクスポート）
このキャプチャで見られた一意の IP、ドメイン（DNS、TLS SNI、HTTP Host 由来）、平文 URL。既定で無害化されているため、有効なリンクになることなくチケットやチャットに貼り付けられます。
最初の10分間は何のためか
キャプチャは通常、慌ただしく取得されます — 何かが遅い、何かが間違った場所と話している、何かが疑わしい — そしてプレッシャーの下で開かれます。質問の順序は、個々の答えよりも重要です。まず会話から。バイト順に並べると、その時間枠で実際にネットワークを使ったのは誰かが分かり、驚きは大抵すぐに見えます。誰も知らないアドレスと長い会話を続けるワークステーション、ダウンロードよりはるかに多くアップロードするサーバー、そもそも存在すべきでないプロトコル。次に DNS です。名前は意図だからです。ホストが行ったクエリは、そのホストが何に到達しようとしていたかを示す、キャプチャが持つ最も閲覧履歴に近いものであり、応答はそれらの名前を、今日 DNS が解決する形ではなく、キャプチャの瞬間のアドレスに固定します。次に TLS メタデータです。暗号化は内容を隠しますが、存在は隠しません。SNI 名と JA3 フィンガープリントは、どのサービスに連絡したか、どんな種類のクライアントソフトウェアが接続したかを今も語ります。最後に平文の驚きです。HTTP リクエストと認証情報の警告です。2026 年において、受動的な観察者が読める形でネットワークを渡るパスワードは、元の質問が何であれ、それ自体がインシデントだからです。コンパニオンガイドパケットキャプチャの最初の10分間は、その順序をワークフローとしてたどり、トリアージを止めて代わりに Wireshark を開くべき時も説明します。
3つの正直な制限が、このページの主張を形作ります。本ページは TCP ストリームを再構成しません。パケットを1つずつ読み、フローに集約します。そのため、キャプチャがセグメントに分割した HTTP リクエストや ClientHello を見逃すことがあります。（タップではなく）ホスト上で取得したキャプチャにはセグメンテーションオフロードのアーティファクトも現れます。この注意点はガイドで説明しています。本ページは何も復号しません。キーログを貼り付ける場所は意図的にありません。キーログは存在する中で最も機密性の高いファイルの一つであり、ウェブページに属するものではないからです。そして認証情報リストは認識されたパターンの集合であり、監査ではありません。警告がないことは、不在の証拠ではありません。本ページが保証するのはデータの流れの方向です。あなたのキャプチャはブラウザタブで動作するコードによって読まれ、アップロード、記録、共有されることは決してありません。そのため、トリアージ自体が漏洩になることはあり得ません。稼働中のサーバーで始まるキャプチャについては、ポートスキャナーがそのホストが公開しているものを示し、メールヘッダーアナライザーがインシデント中に届くもう一つのファイル — 疑わしいメッセージそのもの — をカバーします。
よくある質問
キャプチャファイルはどこへ行きますか？
どこへも行きません。ファイルはこのページで、あなたのデバイス上で読み取られ解析され、何もアップロード、送信、保存されません。ファイルを分析するとき、このページはネットワークリクエストを行いません。これは意図的な設計です。パケットキャプチャはネットワーク上で最も機密性の高いファイルの一つだからです。内部アドレス、ホスト名、そして平文プロトコルでは文字通りの認証情報を保持します。ページが読み込まれればオフラインでも動作します。それはそもそもキャプチャが通常読まれる場所、すなわちそれを取得したマシン上で、しばしばインシデントの最中だからです。
どのキャプチャ形式とリンクタイプに対応していますか？
マイクロ秒またはナノ秒のタイムスタンプを持つ、どちらのエンディアンでもよい古典的な PCAP と、PCAPNG — セクション、インターフェース、拡張およびシンプルパケットブロックに加え、記録された名前が概要に表示される名前解決ブロック — です。リンクタイプ：Ethernet（VLAN タグ付きフレームを含む）、raw IP、BSD ループバック、Linux cooked SLL と SLL2。IPv4 と IPv6、TCP、UDP、ICMP がデコードされます。その他のリンクタイプはプロトコル構成に数えられますがデコードされず、概要は沈黙せずにその旨を述べます。
できないことは何ですか？
3つの制限を率直に述べます。TCP ストリームを再構成しません。分析はパケット単位＋フロー単位の集約なので、セグメントに分割された ClientHello や HTTP リクエストを見逃すことがあります。何も復号できません。TLS やその他の暗号化トラフィックからはメタデータ（サーバー名、ALPN、JA3）だけが得られ、内容は決して得られません。そして認証情報の発見は目撃情報であり、健康証明ではありません。認識する平文パターン（HTTP Basic、FTP、SMTP AUTH、POP3、IMAP、telnet）にフラグを立てますが、フラグがないことは、検査しないプロトコルについて何も証明しません。深い作業 — ストリームの追跡、プロトコルディセクタ、キーログによる復号 — には Wireshark を使ってください。このページは最初の10分間であり、調査全体ではありません。コンパニオンガイドパケットキャプチャの最初の10分間がそのトリアージ順序を説明します。
TLS 接続に表示される JA3 フィンガープリントとは何ですか？
JA3 は ClientHello から TLS クライアントをフィンガープリントする標準的な方法です。TLS バージョン、暗号スイート、拡張、楕円曲線、ポイント形式を、（GREASE 値を除去して）10進数で順序通りに並べ、1つの文字列に結合し、MD5 でハッシュ化します。同じライブラリと設定を持つ2つのクライアントは同じ JA3 を生成します。スキャナーやマルウェアファミリーには特徴的なものがあることが多いです。これはクライアントソフトウェアの癖を識別するもので、ユーザーではありません。ライブラリが更新されると変化します。同一性の証拠ではなく、クラスタリングのヒントとして扱ってください。
どのくらいの大きさのキャプチャを開けますか？
最大 25 MB のファイルです。この上限は意図的です。ファイル全体と分析構造がタブのメモリに収まり、デスクトップブラウザはそれを快適に処理しますが、電話ではそうでないかもしれません。テストでは、約90,000パケットの 10 MB のキャプチャが約1秒で解析されました。それより大きい場合は、キャプチャ時にフィルターするか、自分のマシンで editcap/tcpdump を使ってフィルターして — tcpdump -r big.pcap -w slice.pcap host 203.0.113.10 — そのスライスをここへ持ってきてください。