スニファー（プロトコルアナライザー）

スニファー

原作者	ハリー・サール レン・シュステック
開発者	ネットワーク全般
初回リリース	1986年12月
書かれた	C、8086アセンブラ
オペレーティング·システム	MS-DOS
タイプ	プロトコルアナライザー

Sniffer ^[1]は、1986年にカリフォルニア州マウンテンビューのNetwork General Corporation ^[2]によって開発され、初めて販売されたコンピュータネットワークパケットおよびプロトコルアナライザです。1994年までに、Sniffer はハイエンドプロトコルアナライザのマーケットリーダー^{[3]になりました。SEC 10-K ファイリング[4] [5] [6]}および企業年次報告書^[7]によると、 1986年から1997年3月の間に、約9億3,300万ドル相当の Sniffer および関連製品とサービスが、ネットワーク管理者および開発者向けのツールとして販売されました。

Sniffer は数世代にわたるネットワーク プロトコル アナライザーの先駆けであり、現在最も人気のあるのはWiresharkです。

Sniffer は、1986 年 5 月 13 日^{[8] [9]}にHarry SaalとLen Shustekによってネットワーク プロトコル アナライザの開発と販売を目的として設立されたNetwork General Corporationの最初の製品でした。この発想のきっかけとなったのは、1978 年 10 月に Saal と Shustek が Jim Hinds と Nick Fortis とともに設立したパソコン ネットワーク会社Nestar Systems ^{[10]で開発された社内テスト ツールでした。1982 年に Nestar の英国子会社 Zynar Ltd のエンジニア John Rowlands と Chris Reed が、社内エンジニアリング テスト ツールとして使用する TART (「Transmit and Receive Totaliser」) と呼ばれる}ARCNETプロミスキャス パケット レシーバーおよびアナライザを開発しました。このツールはカスタム ハードウェアと、BASIC と 8086 アセンブリ コードの組み合わせで記述された IBM PC 用のソフトウェアを使用しました。1986 年に Nestar がテキサス州プレイノの Digital Switch Corporation (現在の DSC Communications) に買収されたとき、^[11] Saal と Shustek は TART の権利を取得しました。

Network General社では、Saal氏とShustek氏は当初TARTを「R-4903 ARCNETラインアナライザ（「The Sniffer」）」として販売していました。^{[12]その後、彼らはTARTをIBMの}Token Ringネットワークハードウェア用に再設計し、C言語で書かれたソフトウェアで異なるユーザーインターフェイスを作成し、1986年12月にThe Sniffer™として販売を開始しました。^[13]その年の終わりには、同社の従業員は4人でした。

1987年4月に同社はSnifferのイーサネット版^{[14] [15]}をリリースし、10月にはARCNET、StarLAN、IBM PC Network Broadband用のバージョンをリリースした。プロトコル・スタックの様々なレベルで約100のネットワーク・プロトコル用のプロトコル・インタープリタが書かれ、顧客は独自のインタープリタを書くことができた。製品ラインは徐々に拡大し、複数のリモート・ネットワーク・セグメント用のDistributed Sniffer System ^[16]、高度な問題診断用のExpert Sniffer ^[17]、シンプルなネットワーク監視用のWatchdog ^[18]が含まれるようになった。

Zynar が社内テスト ツールとして開発した ARCNET Sniffer は、PLAN ネットワーク システム用に Nestar が開発した IBM PC ARCNET ネットワーク インターフェイス カードを使用していました。このボードは、Datapoint と共同で開発されたStandard Microsystems Corporationの COM9026 統合 ARCNET コントローラを使用していました。

SMCチップには、宛先アドレスに関係なくすべてのパケットを受信できる無差別モードはありませんでした。そのため、スニファーを作成するために、チップへの受信データラインを傍受し、すべてのパケットがブロードキャストのように見えてチップで受信されるようにデータを操作するドーターボード^[19]が開発されました。

すべてのパケットを受信する機能はネットワークのプライバシーを侵害すると見なされたため、それを実装する回路は秘密にされ、ドーターボードはリバースエンジニアリングを防ぐために黒色のエポキシで封止されました。

オリジナルのTART/Sniffer BASICとアセンブラプログラムのソースコードはGitHubで公開されています。^[20]

スニファーはプロミスキャス モードのパケット レシーバーであり、宛先のコンピュータに関係なく、すべてのネットワーク パケットのコピーを受信します。パケットはフィルタリングされ、現在ではディープ パケット インスペクションと呼ばれるものを使用して分析され、後で調査するために保存されます。

Sniffer は Microsoft のMS-DOSオペレーティングシステム上に実装され、40 行 80 文字のテキストのみのディスプレイを使用していました。最初のバージョンであるトークンリングネットワーク用の PA-400 プロトコルアナライザ^{[21]は、Intel 80286 プロセッサ、640 KB の RAM、20 MB の内蔵ハードディスク、5 ¼ インチのフロッピーディスクドライブ、9 インチのモノクロ CRT 画面を備えた}Compaq Portable IIの「持ち運び可能な」コンピュータでリリースされました。Sniffer の小売価格は 1 個あたり 19,995 ドルでした。^[22]

2つの主要な動作モード^[13]は次の通りである。

• 「キャプチャ」では
  • パケットはキャプチャされ、保存され、カウントされ、要約されます
  • フィルターはどのパケットをキャプチャするかを制御します
  • おそらく、要求されたネットワークエラー状態が発生したために、キャプチャを停止する必要があるときに制御をトリガーします。
• 「ディスプレイ」では
  • パケットが分析され解釈される
  • フィルタはどのパケットを表示するかを制御する
  • オプションはパケットのどの部分を表示するかを制御します

文字モード ディスプレイ上の広範なメニュー システムのナビゲーションは、もともとDatapoint CorporationのMark S Millerがファイル ブラウザー用に作成したミラー列のバリエーションを使用して いました。Sniffer のマニュアルには、「画面には左から右に 3 つのパネルが表示されます。現在の (ハイライト表示された) 位置のすぐ左には、先ほど移動したノードがあります。中央パネルの上下には、左側のノードからアクセス可能な代替ノードがあります。右側には、現在いるノードからアクセス可能なノードがあります。」と説明されています。

F10キーを押すとキャプチャが開始され、アクティビティがリアルタイムで表示されます。^[21]

キャプチャが終了すると、パケットが分析され、現在では標準となっている 3 つの同期された垂直ウィンドウ (複数のパケットの概要、単一パケットのデコードされた詳細、生の数値パケット データ) の 1 つ以上に表示されます。各ウィンドウで選択された項目はハイライト表示され、リンクされます。

複数パケットの概要では、デフォルトでそのパケットに存在するプロトコル スタックの最上位レベルの情報が表示されます。他の表示は、「表示オプション」メニューを使用して要求できます。

ネットワークプロトコルスタックの特定のレベルのデータをユーザーフレンドリーなテキストに変換するのは、「プロトコルインタープリタ」またはPIの仕事でした。Network Generalは、当時一般的に使用されていたプロトコルに対して 100を超えるPI ^{[23]を提供しました。}

上位のプロトコル レベルをデコードするには、多くの場合、インタープリタが接続に関する状態情報を維持し、後続のパケットを適切に解釈できるようにする必要があります。これは、プロトコル インタープリタ内でローカルにキャッシュされたデータと、キャプチャ バッファに保存された以前のパケットを参照する機能を組み合わせて実装されました。

Sniffer の顧客は、Network General がサポートしていない新しいプロトコルや珍しいプロトコルをデコードするために、独自のプロトコル インタープリタを作成することができました。インタープリタは C で書かれ、Sniffer の他のモジュールとリンクされて新しい実行可能プログラムが作成されました。新しい PI を作成する手順は、1987 年 4 月に Sniffer バージョン 1.20 の一部として文書化されました。^[24]

多くのネットワーク プロトコルをサポートすることに加えて、1980 年代から 1990 年代初頭に使用されていた主要なローカル エリア ネットワークからデータを収集する Sniffer のバージョンもありました。

• IBM トークンリング
• トークンバス
• イーサネット（太線、細線、ツイストペア）
• データポイントARCnet
• スターラン
• アップルトーク
• コルヴス・オムニネット
• FDDI
• ＩＳＤＮ
• フレームリレー
• 同期データリンク制御(SDLC)
• 非同期転送モード(ATM)
• X.25
• IBM PC ネットワーク(Sytek)

初期の頃から、スニファーには競合製品が存在した^[25]。少なくとも製品のいくつかの側面では、スニファーのようにすぐに使用できるパッケージ機器がいくつかあった。

• Excelanの1984年製Nutcracker ^[26]と1986年製LANalyzer ^[27]
• Communications Machinery Corporation の DRN-1700 LanScan イーサネット モニター
• ヒューレット・パッカードのHP-4972A LANプロトコルアナライザ^[28]
• デジタルイクイップメントコーポレーションのLANトラフィックモニター^[29]
• テクトロニクスのTMA802メディアアナライザ^[30]

ソフトウェアのみのパケット モニターとデコーダーもいくつかありました。これらは、多くの場合 Unix 上で実行され、コマンド ライン ユーザー インターフェイスのみを備えているものが多くありました。

• tcpdumpは、Berkeley Packet Filter ^[31]やオペレーティングシステムが提供する他のキャプチャメカニズムを使用して、
• LANWatch、^[32] FTPソフトウェアから

• パケットアナライザーの比較
• ワイヤーシャーク

• 「コンピューターとネットワーク スニファーの古代史」(Sharkfest 2021 基調講演) - SF16 - Len Shustek 基調講演、 2021 年 8 月 17 日取得
• Haugdahl, JS (1988 年 10 月)。「LAN プロトコル アナライザのベンチマーク」。Proceedings [1988] 13th Conference on Local Computer Networks。pp . 375–384。doi :10.1109/ LCN.1988.10251。ISBN 0-8186-0891-9. S2CID  336848。
• Chartoff, Marvin (1987-12-14)。「LAN 管理: 仕事に適したツールは何か?」。Network World。第 4 巻、第 50 号。International Data Group。37ページ。