Wireshark で取ったパケットのログは、キャプチャを止めたあとに「名前を付けて保存」で pcapng 形式として残すのが基本です。長時間の記録ではリングバッファで分割保存し、共有するときは必要なパケットだけを書き出す、という使い分けを覚えると、ファイルが巨大になったり大事な記録を失ったりする失敗を防げます。この記事では、GUI での保存手順、保存形式の違い、コマンドライン（dumpcap・tshark）での自動保存、テキストや CSV への書き出し、保存したファイルの扱い方までを順に解説します。
まず知っておきたいこと：保存しないと消える
Wireshark はキャプチャ中、パケットを一時ファイルに書き込んでいます。この一時ファイルは OS の一時フォルダに置かれ、保存せずに Wireshark を終了したり、新しいキャプチャを始めたりすると削除されます。終了時に保存を確認するダイアログが出ますが、急いで「保存しない」を選んでしまう失敗はよくあります。調査に使う可能性があるキャプチャは、止めた直後に保存する習慣をつけてください。
なお、メニュー名やダイアログの表記は Wireshark のバージョンや表示言語で多少異なります。以下は英語表記を基準に（2026年10月現在）の一般的な配置で説明します。
手順1：GUI でキャプチャ全体を保存する
- ツールバーの停止ボタンでキャプチャを止めます。
- メニューの「File」→「Save As…」（日本語表示では「ファイル」→「名前を付けて保存」）を開きます。
- 保存先とファイル名を指定し、形式を選んで保存します。
ファイル名には日時と目的を入れておくと、後から探しやすくなります（例: 20261022_web01_502error.pcapng）。
形式は pcapng を基本にする
保存形式の主な選択肢は次の2つです。
- pcapng: Wireshark の既定の形式。複数インターフェースの記録、パケットごとのコメント、キャプチャ環境の情報などを保持できます。
- pcap（libpcap）: 古くからある形式。古いツールや一部の解析サービスが pcapng を読めない場合に使います。
迷ったら pcapng で保存し、相手のツールが読めないと言われたときだけ pcap に変換するのが扱いやすい方法です。pcap に変換するとコメントなどの付加情報は失われます。
手順2：必要なパケットだけを書き出す
数百MBのキャプチャをそのまま共有すると、受け取る側が困るうえ、無関係な通信（他のユーザーの Cookie など）まで渡してしまいます。調査対象を絞ってから保存します。
- 表示フィルターで対象を絞ります（例:
ip.addr == 192.0.2.10 && tcp.port == 443）。 - 「File」→「Export Specified Packets…」を開きます。
- 「表示されているパケット（Displayed）」を選び、範囲（全体・選択中・マーク済みなど）を指定して保存します。
「Save As」はキャプチャ全体を保存し、「Export Specified Packets」は条件に合ったパケットだけを保存する、という違いがあります。問題の起きた数秒間だけを渡したいときは、パケット一覧で範囲を選択してから書き出すと便利です。
手順3：長時間の記録はリングバッファで分割保存する
再現待ちのトラブルを数時間〜数日かけて記録するときに、1ファイルに書き続けるとディスクを使い切ったり、開けないほど大きくなったりします。そこで、一定サイズや一定時間ごとにファイルを切り替え、決まった数だけ残す「リングバッファ」を使います。
GUI では「Capture」→「Options…」の出力関連のタブで、ファイルの保存先、新しいファイルに切り替える条件（サイズ・時間）、リングバッファのファイル数を指定できます（項目名はバージョンにより異なります）。
サーバー上や長時間の運用では、GUI ではなく Wireshark に付属する dumpcap を使うほうが安定します。
# eth0 を 100MB ごとに分割し、最新の 20 ファイルだけを残す
# filesize の単位は kB（102400 kB ≒ 100MB）
sudo dumpcap -i eth0 -b filesize:102400 -b files:20 -w /var/tmp/capture/web01.pcapng
# 1時間ごとに分割する場合
sudo dumpcap -i eth0 -b duration:3600 -b files:48 -w /var/tmp/capture/web01.pcapngファイル名には自動で連番と日時が付きます。キャプチャフィルター（-f "port 443" など）で記録する通信をあらかじめ絞ると、ファイルサイズを大きく減らせます。保存先は、ログや DB と同じパーティションを避け、空き容量を監視しておくと安心です。
Wireshark が入っていないサーバーでは、tcpdump で保存して手元の Wireshark で開く方法もあります。
# 100（百万バイト）ごとに分割し、10 ファイルで循環
sudo tcpdump -i eth0 -w /var/tmp/capture/web01.pcap -C 100 -W 10 port 443手順4：tshark で保存・抽出・変換する
tshark は Wireshark のコマンドライン版で、保存済みファイルの抽出にも使えます。
# 保存済みファイルから HTTP 関連だけを抜き出して別ファイルに保存
tshark -r web01.pcapng -Y "http" -w web01_http.pcapng
# 主要な項目を CSV に書き出す（表計算ソフトで開ける）
tshark -r web01.pcapng -T fields \
-e frame.number -e frame.time -e ip.src -e ip.dst -e _ws.col.Protocol -e _ws.col.Info \
-E header=y -E separator=, -E quote=d > web01.csvGUI でも「File」→「Export Packet Dissections」から、プレーンテキスト・CSV・JSON などの形式で書き出せます。報告書に貼る、表計算で集計する、といった用途ではこちらが向いています。ただし、テキストに書き出すと元のパケットには戻せないので、元の pcapng は別に残しておきます。
手順5：保存したファイルを整理する
Wireshark には、保存済みファイルを扱う付属ツールがあります。
# ファイルの概要（パケット数・期間・サイズ）を確認
capinfos web01.pcapng
# 1万パケットごとに分割
editcap -c 10000 web01.pcapng web01_part.pcapng
# 各パケットを先頭 128 バイトに切り詰める（中身を減らしてヘッダー中心にする）
editcap -s 128 web01.pcapng web01_trim.pcapng
# 複数ファイルを時刻順に結合
mergecap -w merged.pcapng web01_*.pcapngeditcap -s で切り詰めると、TCP や IP のヘッダーは残したまま本文のデータを減らせるため、通信の流れだけを調べたい場合の共有に向きます。
保存したキャプチャの取り扱いと注意点
パケットキャプチャには、暗号化されていない通信の本文、Cookie、IP アドレス、場合によってはパスワードや個人情報が含まれます。ログとして保存する以上、次の点を運用ルールにしておいてください。
- 保存先の権限を絞る: サーバー上では保存ディレクトリを管理者のみ読み書きできるようにします。
- 共有は最小限に: 必要な範囲だけを書き出し、可能ならヘッダーのみに切り詰めます。社外に渡す場合は、社内の規程や個人情報の取り扱い方針に照らして判断します。
- 保管期限を決める: 調査が終わったら削除するか、期限を決めて保管します。
- TLS の鍵ログは秘密情報: HTTPS の中身を見るためにブラウザの
SSLKEYLOGFILEで鍵ログを保存した場合、そのファイルがあれば通信を復号できます。キャプチャと同じ場所に置いたまま共有しないでください。 - キャプチャの許可: 自分が管理するネットワーク・サーバー以外で記録する場合は、管理者の許可を得てください。
うまく保存できないときの確認ポイント
- インターフェースが表示されない・権限エラー: Linux では dumpcap に必要な権限（wireshark グループへの所属など）が無い可能性があります。Windows ではキャプチャ用ドライバ（Npcap）が入っているかを確認します。
- 保存したファイルが開けない: 保存中にディスクが一杯になった、または pcapng を読めない古いツールで開いている可能性があります。
capinfosで読めるか確かめ、必要なら pcap で保存し直します。 - ファイルが大きすぎて操作が重い:
editcapで分割するか、tshark で必要な通信だけを抜き出してから GUI で開きます。
まとめ
- キャプチャは止めた直後に「Save As」で保存する。保存しないと一時ファイルは消える
- 形式は pcapng を基本とし、相手のツールが読めないときだけ pcap にする
- 共有は「Export Specified Packets」で必要な範囲だけにする
- 長時間の記録は dumpcap などのリングバッファで分割保存し、空き容量を監視する
- キャプチャは個人情報を含みうるため、権限・共有範囲・保管期限を決めて扱う