Pktmon에 대해 알아보기: Windows 10의 내장 네트워크 모니터링 도구

Windows 10 2018년 10월 업데이트를 출시하면서 Microsoft는 Windows 10 에 Pktmon이라는 내장 명령줄 형태로 네트워크 패킷 스니퍼를 조용히 추가했습니다 . 그 후 Microsoft는 사용자가 더 쉽게 사용할 수 있도록 이 도구에 몇 가지 기능을 추가했습니다.

패킷 추적기 또는 네트워크 분석기는 컴퓨터의 네트워크 장치를 통과하는 네트워크 트래픽을 개별 패킷 수준까지 모니터링할 수 있는 프로그램입니다.

Pktmon: Windows 10에 내장된 네트워크 모니터링 도구

처음 출시되었을 때 Pktmon은 Microsoft에서 만든 독점 로그 형식인 ETL(Event Trace Log) 형식만 지원했습니다. 나중에 Microsoft는 PCAPNG 로그 파일 지원 과 실시간 모니터링을 추가했으며 이에 대해서는 이 문서에서 알아볼 것입니다.

Pktmon을 사용하려면 Windows 10에서 관리자 권한으로 명령 프롬프트를 실행 해야 합니다 . 프로그램에 관리자 권한이 필요하기 때문입니다. 프로그램 사용 방법에 대한 지침을 받으려면 명령 프롬프트 에 pktmon help를 입력하십시오 .

pktmon 도움말 문서

특정 명령에 대한 자세한 도움말 지침을 보려면 pktmon [command name] help 명령을 입력하십시오 . 예를 들어, "comp" 명령 에 대한 문서를 보려면 다음을 입력합니다.

pktmon comp help

도움말 명령을 사용하세요

도움말을 사용하여 하위 명령에 대한 지침을 볼 수 있습니다. 예를 들면 다음과 같습니다.

pktmon comp list help

Pktmon을 익히려면 튜토리얼을 시청하는 것이 가장 유용한 방법이므로 실제로 이 도구를 사용하기 전에 먼저 학습해 보는 것이 좋습니다.

• Windows 10에서 인터넷 용량 모니터링 및 저장

Pktmon 네트워크 모니터링 도구를 사용하는 방법

그래픽 사용자 인터페이스를 갖춘 네트워크 모니터링 도구에 비해 Pktmon의 명령줄 인터페이스에 익숙해지는 데 시간이 더 오래 걸릴 수 있습니다.

패킷을 모니터링하려면 먼저 모니터링하려는 트래픽을 지정하는 pktmon filter add 명령을 사용하여 필터를 생성해야 합니다.

예를 들어 다음 명령을 사용하여 네트워크의 모든 네트워크 트래픽을 모니터링할 수 있습니다.

pktmon filter add -i 192.168.1.0/24

…또는 다음을 사용하여 DNS 트래픽을 모니터링합니다 .

pktmon filter add -t UDP -p 53

수행 방법을 파악하지 못한 경우 pktmon filter add help 명령을 사용하여 필터 생성 방법을 배워야 합니다.

이 기사에서 작성자는 위에서 설명한 대로 DNS 트래픽을 모니터링하는 필터를 만들었습니다. 생성한 필터를 보려면 다음 명령어를 입력하세요.

pktmon filter list

생성된 모니터링 필터가 나열됩니다.

모든 네트워크 인터페이스에서 DNS 트래픽 모니터링을 시작하고 실시간으로 활동을 표시하려면 다음 명령을 사용합니다.

pktmon start --etw -p 0 -l real-time

위의 예에서는 -p 0 인수를 사용하므로 전체 패킷을 캡처합니다. -c 인수 뒤에 인터페이스의 인덱스 ID를 사용하여 모니터링할 특정 네트워크 인터페이스를 지정할 수도 있습니다 . 네트워크 인터페이스 및 인덱스 ID(ifIndex) 목록을 얻으려면 다음 명령을 사용할 수 있습니다.

pktmon comp list

트래픽 모니터링을 시작하면 아래와 같이 캡처된 DNS 패킷이 명령 프롬프트에 실시간으로 표시되는 것을 볼 수 있습니다.

실시간으로 DNS 트래픽 모니터링

트래픽 추적을 중지하려면 Ctrl + C를 누르세요 . 완료되면 PktMon을 실행한 디렉터리에 PktMon.etl 로그 파일이 생성됩니다.

그러나 ETL 파일은 많은 응용 프로그램에서 지원하지 않기 때문에 좋은 선택이 아닙니다. pktmon pcapng 명령을 사용하여 ETL 파일을 PCAPNG 파일로 변환할 수 있습니다 . 예를 들어, PktMon.etl을 PktMon.pcapng 라는 PCAPNG 파일로 변환하려면 다음 명령을 입력하십시오.

pktmon pcapng PktMon.etl -o PktMon.pcapng

로그 파일이 PCANPNG 형식으로 변환되면 이를 Wireshark 와 같은 프로그램에 로드하여 각 DNS 요청에 대한 자세한 정보를 얻을 수 있습니다.

Wireshark를 사용하여 Pktmon 로그 분석

보시다시피 Pktmon은 네트워크를 통해 실행되는 트래픽 유형에 대한 통찰력을 얻을 수 있는 매우 강력한 도구입니다.

• 포괄적인 네트워크 모니터링 도구 세트

동시에 Pktmon은 사용하기 복잡할 수 있으므로 명령을 실행하기 전에 도움말 문서를 숙지해야 합니다.