tcpdump とは？

ネットワーク上を流れているパケット（データの小包）をキャッチして中身を見せてくれるコマンドだよ。たとえるなら、道路を走る車を一台ずつ止めて『どこから来てどこへ行くの？何を運んでるの？』って調べる検問所みたいなものだね

`sudo tcpdump -i eth0` で指定したインターフェースの全通信をキャプチャできるよ。でもそれだと大量に流れてくるから、`tcpdump port 80` でHTTP通信だけとか、`tcpdump host 192.168.1.1` で特定のIPだけに絞ることが多いね

ログはアプリケーションが『記録しよう』と思ったものしか残らないんだ。tcpdumpは実際にネットワークを流れている生のデータを見るから、『リクエストがサーバーに届いていない』とか『応答が途中で消えている』みたいな、ログだけでは分からない問題が見つかるんだよ

`tcpdump -w capture.pcap` でファイルに保存できるよ。pcap形式で保存すると、後からWiresharkというGUIツールで開いてグラフィカルに分析できるんだ。本番サーバーではtcpdumpで素早くキャプチャして、分析は手元のPCでじっくりやるのが定番のワークフローだね

root権限が必要だから誰でも使えるわけじゃないけど、暗号化されていないHTTP通信だとパスワードまで丸見えになることがあるんだ。だからHTTPSが重要なんだよ。逆にセキュリティエンジニアは、不正通信を検知するためにtcpdumpでネットワークを監視することもあるね