Datenverkehr mit Bordmitteln unter Windows mitschneiden und als PCAPng ausgeben
Alle Pakete an Bord
Einfache Netzwerkanalysen, für Linux-Admins fast alltäglich, sind auch unter Windows kein Hexenwerk. Microsofts Betriebssystem bringt alles Notwendige mit.
Wenn im Netzwerk etwas hakt, hilft häufig nur die Analyse eines Paketmitschnitts. In Windows-Umgebungen sind jedoch beliebte Werkzeuge wie tshark oder Wireshark nicht auf den Clients installiert. Das integrierte Kommandozeilentool netsh kann hier immerhin ein Event Trace Log (ETL) erstellen. Dieses lässt sich im Prinzip mit Microsofts vielseitigem Message Analyzer (MMA) öffnen – doch dessen Weiterentwicklung wurde 2019 eingestellt. In Gestalt von ETL2PCAPNG steht zwar ein Konverter für das PCAPng-Format (Packet Capture Next Generation) zur Verfügung. Praktischer ist jedoch eine Aufzeichnung inklusive des direkten Exports in diesem Standardformat für eine weiter gehende Analyse. Genau das ermöglicht das Kommandozeilentool pktmon.
Das Werkzeug ist Bestandteil von Windows Server 2019 und der aktuellen Version von Windows 10. Der zugrunde liegende Filtertreiber klinkt sich zwischen Netzwerkadapter und TCP/IP-Stack ein. Gerade durch den zunehmenden Einsatz von Netzwerkvirtualisierung und Containerstrukturen bietet sich eine Aufzeichnungsmöglichkeit auf dem Host selbst an.