netstatはネットワーク接続や待受ポート、統計を確認するコマンドです。ただし、WindowsとLinuxではオプションの意味が異なります。WindowsでPIDを調べるなら netstat -ano、LinuxでTCPの待受とプロセスを調べるなら netstat -lntp が代表例です。本記事ではOS別の違いを先に示し、その後にLinux（net-tools）の使用例を解説します。全オプションの網羅ではなく、用途別に使う主要オプションのガイドです。
Netstatの基本的な使い方
Netstatコマンドは、コマンドプロンプトやターミナルから実行可能で、使用するオプションによって多くの有用な情報を提供します。基本的なコマンドフォーマットは次の通りです。
netstat [オプション]オプションなしのWindows版はアクティブなTCP接続を表示します。Linux版も既定では待受ソケットを省くため、何も指定すれば待受ポートまで全部出る、という意味ではありません。待受を含める場合は -a、Linuxで待受だけなら -l を指定します。
WindowsとLinuxのオプション比較
| 目的 | Windows | Linux（net-tools） |
|---|---|---|
| 待受を含む接続を数値で表示 | netstat -an | netstat -an |
| TCPだけを表示 | netstat -an -p tcp | netstat -ant |
| UDPを表示 | netstat -an -p udp | netstat -anu |
| PIDを表示 | netstat -ano | netstat -anp |
| TCPの待受を抽出 | netstat -ano | findstr LISTENING | netstat -lntp |
| プロトコル別統計 | netstat -s | netstat -s |
| ルーティングテーブル | netstat -r | netstat -r |
Windowsの -p はプロトコル指定で、PIDは -o です。実行ファイルを調べる -b は十分な権限が必要で、処理に時間がかかる場合があります。Linuxの -p はPIDとプログラム名で、他ユーザー所有のソケット情報には権限が必要です。以下の grep・awk を含む例はLinux用で、そのままWindowsのコマンドプロンプトには使えません。
参照：Microsoft公式のWindows netstat、Linux netstatマニュアル。実機で利用可能な全オプションはWindowsの netstat /?、Linuxの man netstat で確認してください。
Linuxでよく使用されるオプションとその説明
Netstatコマンドには多くのオプションがあり、それぞれ異なる種類の情報を提供します。以下に、よく使用されるオプションをいくつか紹介します。
-a (すべての接続とリスニングポートを表示)
このオプションを使用すると、アクティブなTCP接続だけでなく、サーバーが現在リスニングしているすべてのTCPおよびUDPポートが表示されます。これはネットワークの全体的な概要を得るのに非常に有用です。
netstat -a-n (アドレスとポート番号を数値形式で表示)
このオプションを利用すると、通常表示されるホスト名、サービス名が数値のIPアドレスとポート番号で表示されます。これにより、名前解決の遅延を避けることができ、問題のトラブルシューティングが速やかに行えます。
netstat -n-t (TCP接続のみを表示)
TCP接続のみに焦点を当てたい場合は、このオプションを使用します。UDPなど他のプロトコルは無視され、TCP接続情報のみがリストされます。
netstat -t-u (UDP接続のみを表示)
UDPプロトコルを使用する接続だけに興味がある場合に便利です。このオプションを使うと、TCP接続は表示されず、UDP接続のみが表示されます。
netstat -u-p (プロセス識別子とプロセス名を表示)
特定の接続がどのプロセスによって開かれているかを知りたい場合に使用します。セキュリティの監視やシステム管理に非常に役立ちます。他ユーザー所有のプロセス情報を表示するには、適切な権限が必要です。
netstat -pこれらのオプションを組み合わせることで、より具体的なネットワーク状態の分析が可能になります。例えば、すべてのTCP接続を数値形式で表示したい場合は、netstat -ant のようにオプションを連結して使用します。
Linuxの使用例：システムのアクティブな接続を表示する
Netstatを使用してシステム上のアクティブな接続を確認する方法は、システム管理者にとって非常に有用な操作です。これにより、どの外部システムとの間に通信が行われているかを瞬時に確認できます。以下に基本的な使用例を示します。
コマンドの実行
システム上のすべてのアクティブなTCP接続を表示する基本的なコマンドは以下の通りです。
netstat -natこのコマンドは、-n オプションで数値形式のアドレスとポート番号を使用し、-a でアクティブなすべての接続を表示し、-t でTCP接続のみをフィルタリングします。
出力結果の解析
以下は読み方を説明するための出力例です。実際の値は環境によって異なります。
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN
tcp 0 0 192.168.1.101:57344 192.168.1.100:22 ESTABLISHED
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN- Proto: 使用しているプロトコル（この場合はTCP）
- Recv-Q: 確立済みTCPではアプリがまだ読み取っていない受信データ量。LISTEN行では接続待ちキューの指標
- Send-Q: 確立済みTCPでは相手から未確認の送信データ量。LISTEN行では接続待ちキューの指標で、同じバイト数ではありません
- Local Address: ローカルコンピュータのアドレスとポート番号
- Foreign Address: 外部の接続先アドレスとポート番号
- State: 接続の状態（例: LISTEN, ESTABLISHED）
この情報を利用して、不審な接続や予期せぬ通信を発見することができます。たとえば、通常は使用しないポートがLISTEN状態にある場合、それは調査が必要な兆候かもしれません。
Linuxの使用例：リスニングポートとサービスを確認する
システムがどのポートで待ち受けているか、またそのポートを介してどのようなサービスが提供されているかを把握することは、システムのセキュリティ管理において極めて重要です。Netstatコマンドを使用してリスニングポートとそれに関連するサービスを確認する方法について説明します。
コマンドの実行
LinuxでTCPの待受行を抽出するためには、以下のコマンドを使用します。
netstat -lnt-l で待受、-n で数値表示、-t でTCPを指定します。UDPの確認は netstat -lnu と分けます。
出力結果の解析
以下は読み方を説明するための出力例です。実際の値は環境によって異なります。
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN
tcp6 0 0 :::80 :::* LISTEN
tcp6 0 0 :::443 :::* LISTEN- 0.0.0.0:22 や :::80 などのアドレスは、リスニングポートを示しています。ここでの
22はSSHサービス、80はHTTPサービス、443はHTTPSサービスがそれぞれ使用しているポートです。 - State: ポートの状態が
LISTENと表示されていることから、これらのポートが外部からの接続を待ち受けていることが確認できます。
ポート番号だけでは実際のサービスや外部からの到達可否は確定しません。PID・プロセス、バインド先、ファイアウォール設定を併せて確認します。予期せぬポートが開いている場合や、セキュリティ上問題のあるポートが使用されている場合には、迅速な対応が求められます。このような分析を通じて、システムのセキュリティを向上させることができます。
Linuxの使用例：ネットワークトラフィックと統計を表示する
Netstatコマンドを使用して、システム上のネットワークトラフィックの統計情報を収集し分析する方法は、ネットワークのパフォーマンス監視やトラブルシューティングに非常に役立ちます。以下に具体的なコマンドとその解析方法を説明します。
コマンドの実行
ネットワークの統計情報を表示するには、-s オプションを使用します。このオプションは、システムで利用されている各プロトコル（TCP, UDP, ICMPなど）に関する統計データを提供します。
netstat -s出力結果の解析
以下は統計の表示例です。実機で取得した測定結果ではありません。
Ip:
99999 total packets received
1 with invalid addresses
0 forwarded
0 incoming packets discarded
99998 incoming packets delivered
120450 requests sent out
Tcp:
125678 active connections openings
50 failed connection attempts
1500 connection resets received
10000 segments sent out
20000 segments retransmit
2 bad segments received
Udp:
5000 packets received
5 packets to unknown port received
0 packet receive errors
5000 packets sentこの統計データにより、以下のような分析が可能です：
- IP: 受信したパケットの総数、無効なアドレスを持つパケットの数、転送されたパケットの数、破棄されたパケットの数、配信されたパケットの数を確認できます。
- TCP: アクティブな接続の開始回数、接続試行失敗の回数、接続リセットの受信回数、送信されたセグメントの数、再送信されたセグメントの数、受信した不良セグメントの数を示しています。
- UDP: 受信したパケットの数、未知のポートに送られたパケットの数、パケット受信エラーの数、送信されたパケットの数を表示します。
これらの情報を利用して、ネットワークのパフォーマンス問題を特定したり、セキュリティ上の潜在的な問題を発見するための洞察を得ることができます。例えば、異常に高い再送信率はネットワークの問題を示唆しており、詳細な調査が必要です。
Linuxの応用例：問題診断に役立つNetstatの使い方
Netstatコマンドはネットワークのトラブルシューティングに非常に有効で、システム管理者が頻繁に直面する問題を解決するのに役立ちます。ここでは、特定の問題を診断するためのいくつかの応用例を紹介します。
不審な接続の特定
システムに不審な接続があるかどうかを調べるには、特に外部からの接続を詳しく見る必要があります。以下のコマンドを使用して、特定のポート（例えば、Webサーバーのポート80）への接続を調べます。
netstat -nat | grep ':80' | grep ESTABLISHEDこれは文字列の簡易抽出で、ローカル・接続先の両方や :8080 などにも一致するため、ポート80だけの厳密な抽出ではありません。列とポート番号を確認してください。出力から、通常とは異なるソースIPアドレスや異常な接続数があれば、それをさらに調査することが重要です。
ポートの利用状況確認
サーバーで予期せぬポートが開いているかどうかを確認するためには、リスニング状態のポートを調べます。これはセキュリティの監査にも役立ちます。
netstat -nltこのコマンドは、TCPプロトコルでリスニング中のポートを表示します。不要または未知のポートがリスニングしている場合、それが潜在的なセキュリティリスクを示している可能性があります。
ネットワークパフォーマンスの問題
次の例はTCPの状態別件数を集計します。キューのデータ量を集計するコマンドではありません。
netstat -nat | awk '{print $6}' | sort | uniq -c | sort -nこのコマンドは、すべての接続の状態をカウントし、どのTCP状態が最も頻繁に発生しているかを示します。例えば、SYN_SENT や TIME_WAIT の件数だけで障害とは断定できません。TIME_WAITは通常のTCP終了処理でも発生します。通信量や時間変化、実際の症状と合わせて判断してください。
これらの応用例を通じて、Netstatコマンドを使った詳細な問題診断が行えます。これにより、ネットワークの健全性を維持し、潜在的な問題に迅速に対応できるようになります。
セキュリティ上の考慮事項とNetstat
Netstatコマンドはネットワークの監視に非常に役立つツールですが、セキュリティ上の考慮事項も理解しておくことが重要です。このセクションでは、Netstatを使用する際のセキュリティ面でのヒントと潜在的なリスクについて詳しく解説します。
セキュリティ監視としてのNetstatの活用
Netstatは、システムへの不正アクセスや不審なネットワーク活動を監視するのに有効なツールです。例えば、外部からの不審なリモート接続を定期的にチェックすることで、セキュリティ侵害の初期段階でこれを検出することが可能です。
netstat -nat | grep ESTABLISHEDこのコマンドは、確立されたすべての接続を表示し、不審な外部IPアドレスからの接続を識別するのに役立ちます。
プライバシーとセキュリティのリスク
Netstatはシステムのポートと接続情報を公開するため、この情報が誤って外部に漏れると、攻撃者による標的となる可能性があります。Netstatの出力を安全に保持し、不要な情報公開を避けるためには、適切なアクセス制御とログの管理が必要です。
Netstatの実行における権限管理
特定のNetstatオプションは、管理者権限を必要とすることがあります。これにより、システムに対する深い洞察が可能となりますが、同時に悪意のある利用者がシステム情報を取得するリスクも増えます。そのため、管理者権限を持つユーザーの行動を監視し、権限の不正使用を防ぐ対策が重要です。
セキュリティ対策としてのNetstatの定期的な利用
セキュリティ対策の一環として、Netstatを定期的に実行し、その出力を監視することが推奨されます。これにより、システムの異常な変化を早期に検出し、対応することが可能です。また、スクリプトを使用して自動化し、異常なパターンが検出された際にはアラートを発することも有効です。
このように、Netstatはネットワークのセキュリティ状況を理解し、適切な対応を取るための重要なツールですが、その使用には慎重さも求められます。セキュリティとプライバシーを確保するための適切な対策とともに、効果的に利用することが重要です。
Netstatコマンドの代替ツールと比較
Netstatはネットワークの接続状態や統計情報を確認するための非常に有用なツールですが、他のツールもこれと同様の機能を提供し、場合によってはより詳細な情報や使い勝手の良い機能を持っています。ここでは、いくつかの代替ツールとNetstatとの比較を行います。
ssコマンド
ss（socket statistics）コマンドは、Netstatの代替としてよく使用されるツールで、より高速に動作し、より多くの情報を提供します。ssは特に大規模なシステムや多数の接続が存在する環境でその性能の高さが顕著になります。
ss -tulnこの ss -tuln はTCP・UDPの待受ソケットを数値で表示します。-l は待受のみで、非待受も含める場合は -a を使います。Linuxの ss はnetstatの代替として利用でき、接続数の多い環境でも調査に役立ちます。 (ssマニュアル)
Wireshark
Wiresharkはグラフィカルなユーザーインターフェイスを備えたネットワークプロトコルアナライザで、トラフィックをキャプチャし詳細に分析することができます。Netstatが提供する情報以上に、パケットの内容まで詳細に見ることが可能です。
Wiresharkは、特定のネットワーク問題を診断する際に役立つ詳細な情報を提供し、セキュリティ分析や教育的な目的にも広く利用されています。
IFTOP
IFTOPはネットワークインターフェースのトラフィックをリアルタイムで表示するコマンドラインツールで、どのホストがどれだけのデータを送受信しているかを視覚的に表示します。Netstatでは得られない、ネットワークの使用状況を即座に把握することができます。
これらのツールは、Netstatと比較して特定の機能や使用環境において優れた選択肢を提供することがあります。各ツールの特性を理解し、目的に応じて最適なツールを選択することが重要です。
まとめ
Netstatは、ネットワークの接続、統計、セキュリティ状態を監視するための強力なツールです。この記事を通じて、基本的な使い方から、具体的な使用例、セキュリティ上の考慮事項、さらには代替ツールとの比較まで、Netstatコマンドの多岐にわたる側面を詳しく解説しました。OSごとのオプションの違いと適切な利用方法を理解することで、システム管理者やネットワーク技術者はシステムのネットワーク状況を効果的に監視し、問題を迅速に診断して対応することができます。これにより、より安全で効率的なネットワーク環境の構築と維持が可能となります。
コメント