Erfahren Sie mehr über Pktmon: das in Windows 10 integrierte Netzwerküberwachungstool

Bei der Veröffentlichung des Windows 10-Updates vom Oktober 2018 hat Microsoft stillschweigend einen Netzwerkpaket- Sniffer in Form einer integrierten Befehlszeile namens Pktmon zu Windows 10 hinzugefügt . Danach hat Microsoft diesem Tool einige Funktionen hinzugefügt, um es den Benutzern einfacher zu machen.

Ein Paket-Tracer oder Netzwerkanalysator ist ein Programm, mit dem Sie den Netzwerkverkehr durch die Netzwerkgeräte Ihres Computers bis auf die Ebene einzelner Pakete überwachen können.

Pktmon: Das in Windows 10 integrierte Netzwerküberwachungstool

Bei der ersten Veröffentlichung unterstützte Pktmon nur das Event Trace Log (ETL)-Format, ein proprietäres Protokollformat von Microsoft. Später fügte Microsoft die Unterstützung für PCAPNG- Protokolldateien und die Echtzeitüberwachung hinzu, worüber wir in diesem Artikel erfahren werden.

Um Pktmon zu verwenden, müssen Sie die Eingabeaufforderung unter Windows 10 mit Administratorrechten starten, da das Programm Administratorrechte erfordert. Um Anweisungen zur Verwendung des Programms zu erhalten, geben Sie pktmon help in die Eingabeaufforderung ein .

pktmon-Hilfedokumentation

Um weitere Hilfeanweisungen zu einem bestimmten Befehl zu erhalten, geben Sie den Befehl pktmon [Befehlsname] help ein . Um beispielsweise die Dokumentation zum Befehl „comp“ anzuzeigen , geben Sie Folgendes ein:

pktmon comp help

Verwenden Sie den Hilfebefehl

Mithilfe der Hilfe können Sie Anweisungen für Unterbefehle anzeigen, zum Beispiel:

pktmon comp list help

Um sich mit Pktmon vertraut zu machen, ist das Anschauen des Tutorials die nützlichste Möglichkeit. Sie sollten also versuchen, es zu lernen, bevor Sie dieses Tool tatsächlich verwenden.

• Überwachen und sparen Sie die Internetkapazität unter Windows 10

So verwenden Sie das Netzwerküberwachungstool Pktmon

Im Vergleich zu einem Netzwerküberwachungstool mit grafischer Benutzeroberfläche kann es länger dauern, bis Sie sich an die Befehlszeilenschnittstelle von Pktmon gewöhnt haben.

Bevor Sie Pakete überwachen können, müssen Sie zunächst mit dem Befehl pktmon filter add einen Filter erstellen , der den Datenverkehr angibt, den Sie überwachen möchten.

Sie können beispielsweise den gesamten Netzwerkverkehr in Ihrem Netzwerk mit dem folgenden Befehl überwachen:

pktmon filter add -i 192.168.1.0/24

…oder überwachen Sie den DNS- Verkehr mit:

pktmon filter add -t UDP -p 53

Wenn Sie noch nicht herausgefunden haben, wie das geht, sollten Sie den Befehl pktmon filter add help verwenden , um zu erfahren, wie Sie einen Filter erstellen.

In diesem Artikel hat der Autor wie oben beschrieben einen Filter zur Überwachung des DNS-Verkehrs erstellt. Geben Sie den folgenden Befehl ein, um die von Ihnen erstellten Filter anzuzeigen:

pktmon filter list

Die erstellten Überwachungsfilter werden aufgelistet

Um mit der Überwachung des DNS-Verkehrs auf allen Netzwerkschnittstellen zu beginnen und die Aktivität in Echtzeit anzuzeigen, verwenden Sie den folgenden Befehl:

pktmon start --etw -p 0 -l real-time

Im obigen Beispiel wird das Argument -p 0 verwendet , sodass das gesamte Paket erfasst wird. Sie können auch eine bestimmte Netzwerkschnittstelle zur Überwachung angeben, indem Sie das Argument -c gefolgt von der Index-ID der Schnittstelle verwenden. Um eine Liste der Netzwerkschnittstellen und Index-IDs (ifIndex) zu erhalten, können Sie den folgenden Befehl verwenden:

pktmon comp list

Wenn Sie mit der Überwachung des Datenverkehrs beginnen, werden erfasste DNS-Pakete in Echtzeit in der Eingabeaufforderung angezeigt, wie unten gezeigt.

Überwachen Sie den DNS-Verkehr in Echtzeit

Um die Verkehrsverfolgung zu beenden, drücken Sie Strg + C. Nach Abschluss wird eine PktMon.etl- Protokolldatei in dem Verzeichnis erstellt, in dem Sie Pktmon ausgeführt haben.

Allerdings sind ETL-Dateien keine gute Wahl, da sie von vielen Anwendungen nicht unterstützt werden. Sie können eine ETL-Datei mit dem Befehl pktmon pcapng in eine PCAPNG-Datei konvertieren . Um beispielsweise PktMon.etl in eine PCAPNG-Datei mit dem Namen PktMon.pcapng zu konvertieren , geben Sie den folgenden Befehl ein:

pktmon pcapng PktMon.etl -o PktMon.pcapng

Sobald die Protokolldatei in das PCANPNG-Format konvertiert ist, können Sie sie in ein Programm wie Wireshark laden , um detaillierte Informationen zu jeder DNS-Anfrage zu erhalten.

Analysieren Sie Pktmon-Protokolle mit Wireshark

Wie Sie sehen, ist Pktmon ein äußerst leistungsstarkes Tool, mit dem Sie Einblick in die Art des Datenverkehrs erhalten, der durch Ihr Netzwerk läuft.

• Umfassendes Toolset zur Netzwerküberwachung

Gleichzeitig kann die Verwendung von Pktmon kompliziert sein, daher sollten Sie sich mit der Hilfedokumentation vertraut machen, bevor Sie den Befehl ausführen.