1-1.パケットモニター
①集計表示(pm411a.exe)
②ログ表示(pm411a.exe)
③累計データ照会(パケットモニターとは別プログラム pmvd411.exe)
【説明】
◇WinPcap 4.1.1を使用したパケットモニターです．(pm411a.exe)
◇WinPcapがキャプチャーしたパケット(フレーム)を送信元・送信先別に集計しながらメモリに溜め込みます．
◇「集計表示」と「ログ表示」の画面を切り替えて表示します．
◇「集計表示」では、送信元-送信先別の件数の大きい順、又は更新時刻順（新着順）に上位１５件を表示します．
集計項目は、総件数、総サイズ(BYTE)、TCP件数、TCPサイズ(BYTE)、TCPウェルノウンポート使用数、UDP件数、UDPサイズ(BYTE)、UDPウェルノウンポート使用数、その他件数、その他サイズ(BYTE)等です．(その他はTCP,UDP以外の1プロトコル)
画面は２秒ごとに最新のデータで更新され、[表示更新停止]を選択すると、スクロールによりその時点の集計データ全件を見ることができます。（図①）
◇集計用テーブルは8000件です、いっぱいになると更新時刻の古いデータを削除してその領域を再使用します．
◇「ログ表示」では、最新のパケットデータ30件を表示します．（２秒ごとの更新）
[表示更新停止]を選択すると「集計表示」と同様に、スクロールによりその時点に保持している全データを見ることができます．
表示更新停止中は、画面下部がパケットの詳細表示領域に切り替わって指定したパケットを16進で見ることができます．（図②）
◇パケットは約7000件～10000件を保持します．
いっぱいになると、古いデータを破棄して新しいデータを格納していきます．
（保持件数はデータ長の大きいデータが多いと少なくなります、また、古いデータを破棄していきますので時間が経過してゆくと集計データと最新の受信したパケットの7000件～10000件が残る状態になります）
◇[表示更新停止]を選択するとその時保持しているデータをコピーして表示します、パケットの受信・集計はバックで継続していますので再度[表示更新開始]を選択すると最新の状態が表示されます．
◇送信元アドレス、送信先アドレス、イーサータイプ、プロトコル等の表示条件を設定できます．（それぞれ単一値のみ）
◇表示更新停止中は、表示対象のデータ（表示更新を停止した時点のデータ）をテキスト形式で保存できます．
集計データはCSV形式(拡張子csv)で、ログデータはパケットデータを詳細表示領域のレイアウト(拡張子txt)で保存します．
◇プログラム終了時には、集計データのうちIPv4データ（ARPを含む）を使用して累計ファイルを更新します．
累計ファイルは送信元IPアドレス･送信先IPアドレス別に件数、サイズ(BYTE)を保持しており、別プログラムのpmvd411.exeを使用して照会することができます．
照会できる項目は、発生期間、送信元IPアドレス、送信先IPアドレス、件数、サイズ(BYTE)、最大TCPウェルノウンポート使用数と使用した日付、送信元ホスト名、送信先ホスト名、等です．（図③）
（集計データが8000件を超えた時、削除されたデータは削除ファイルに出力して、累計ファイル更新に使用されます、つまり累計ファイルは受信した全てのIPv4データで更新しています）
◇作者は、スタートアップで起動して使用しています．
【備考】
◇WinPcap 4.1.1は http://www.winpcap.org/ よりダウンロードできます．
◇画面サイズは固定の為、横1024以上、縦768以上のモニターが必要です．
◇受信したデータを直接ディスクに保存する機能はありません．
◇詳細表示領域にそのヘッダー部が各項目別に編集して表示されまが、対応プロトコルはTCP(IPv4)、UDP(IPv4)、ICMP(IPv4)、ARPです．
◇パケットデータや集計データはメモリ上に持っており、ハードやソフトの障害時には消えます．
◇累計ファイルは一般のファイルでデータベースのような対障害性はありません．
◇累計ファイルが実用上保持できるデータ件数は約10万件程度です．
（IPアドレスの発生状況で異なります、最大25万件）
◇WindowsXpでテストしています．（Vistaでも動くようです、Xp,Vistaとも64ビットでは動きません）
【使用ソフト】
VC++6.0