Mac でネットワークを使っているアプリを見つける

パフォーマンス公開日 更新日 約6分で読めます

何かが回線を使っています。何もしていないのに Wi-Fi のインジケータが動き続け、テザリングの通信量があっという間に尽き、仕事に向かうたびにビデオ通話が劣化します。macOS はこれに答えられますが、ツールは散らばっており、どれも目立つ数字がリアルタイムではなく累計なので、人は間違ったプロセスを追いかけてしまいます。

短い答え: Activity Monitor のネットワークタブはプロセス名を出しますが、列の数字は各プロセス起動以降の累計です。いま データを動かしているものを見るには nettop を使います。プロセスがどのリモートホストと通信しているかを見るには lsof -i を使います。

Activity Monitor がプロセス名を示す

Activity Monitor を開き、ネットワークタブを選びます。データを動かしたプロセスがすべて、送信バイト数と受信バイト数とともに表示されます。

この列で並べ替えると、間違ったプロセスを追うことになります。数字は各プロセス起動以降の累計なので、前回の再起動から動き続けているデーモンが、いま回線を占有しているアプリより上位に来ます。「受信バイト数」で並べ替えると、ほぼ確実に違うものが先頭に来ます。

人を慌てさせる行が 2 つありますが、たいていは気にしなくてよいものです。

  • mDNSResponder はシステム全体の DNS とローカルネットワーク探索を担当します。何週間も起動し続けた Mac ではギガバイト単位で表示されることがあります。名前解決している他のすべての代理であり、バックグラウンドでダウンロードしているアプリではありません。
  • kernel_task が出るのは、ネットワーク処理がカーネルを通るからです。CPU 側の同じ誤認については kernel_task の CPU 使用率が高い を見てください。

ウインドウ下部には、毎秒の送受信を示すライブグラフがあります。何かを変えたときに見るべきなのは、列ではなくこのグラフです。

nettop がいま動いているものを示す

nettop が本当の問いに答えるツールです。macOS に付属しており、インストールは不要です。

nettop -P -L 1 -J bytes_in,bytes_out

,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,

-P は接続ごとではなくプロセスごとに集計し、-L 1 は対話表示ではなく 1 回サンプリングして終了し、-J は列を選びます。-L なしで対話実行するとその場で更新され、調査中に使うべきモードです。

累計ではなく差分を見るには、数秒あけて 2 回サンプリングし、比較します。その間に数十メガバイト増えたプロセスが調べる対象です。累計は大きいのにサンプル間で変化がないプロセスは、止まっている過去の履歴です。

lsof -i が接続先を示す

名前が分かったら、次の問いはたいてい、どこへデータを送っているかです。

sudo lsof -i -n -P | grep ESTABLISHED

-n は逆引き DNS を飛ばし、-P はポート名の解決を飛ばすので、出力は速く、文字どおりになります。開いている接続ごとに、プロセス、ローカルポート、リモートアドレスが得られます。sudo なしでは自分のプロセスだけが見え、多くの場合それで足ります。

アドレスを解決するときは正直さが必要です。大手クラウド事業者の IP はほとんど何も教えません。インターネットの大半がそこにホストされているからです。手がかりとして扱い、特定とは見なさないでください。

よくある答え

何かがおかしいと決めつける前に、頼んでいないのにネットワークを使うはずのものを確認してください。

原因 見分け方 制御する場所
iCloud 写真の同期 写真の読み込み後に続くアップロード 写真 > 設定 > iCloud
iCloud Drive 大きなファイル変更後の通信 システム設定 > Apple アカウント > iCloud
macOS または App Store のアップデート softwareupdated、appstoreagent システム設定 > 一般 > ソフトウェアアップデート
サードパーティの同期クライアント Dropbox、Google Drive、OneDrive のヘルパー そのアプリ自身の環境設定
バックアップソフト スケジュールどおりの長く安定したアップロード バックアップアプリ
ブラウザのタブ 動画、止まったアップロード、自動再生のページ Chrome のタスクマネージャー、Safari のアクティビティウインドウ

ソフトウェアアップデートは特別に触れておく価値があります。デフォルトでバックグラウンドダウンロードし、macOS のフルインストーラは数ギガバイトあるからです。従量制の回線では、この設定ひとつが問題の全体であることがよくあります。

macOS が教えてくれないこと

人気記事のいくつかが飛ばしているので、限界を 3 つ挙げます。

  • アプリごとの帯域履歴は内蔵されていません。 Activity Monitor も nettop も、プロセス起動時か、見始めた瞬間からの報告です。あとから参照できるアプリごとの記録を、macOS は何も残しません。
  • プロセスごとの累計は、アプリごとの累計ではありません。 ブラウザは通信をレンダラプロセスに分散し、ヘルパーデーモンが複数アプリの通信を一度に担うこともあります。
  • VPN やシステム拡張を通る通信は、拡張側に帰属する ことがあり、発生元のアプリには付きません。

アプリごとの完全な履歴内訳をうたうツールは、独自のネットワークフィルタを入れているか、推定しているかのどちらかです。数字を信じる前に、どちらなのかを知っておく必要があります。

繰り返せる確認手順

  1. Activity Monitor のネットワークタブ下部のライブグラフを見ます。列ではありません。
  2. 数秒あけて nettop -P -L 1 を 2 回取り、差分を見ます。
  3. 増えたプロセスに対して lsof -i -n -P を実行し、接続先を確認します。
  4. 疑わしいアプリや同期サービスを一時停止し、グラフが下がることを確認します。
  5. 何も下がらなければ、通信はユーザーアプリ由来ではありません。ソフトウェアアップデートと iCloud を確認してください。

4 番目の手順を人は飛ばしがちですが、特定と推測を分けるのはここです。

モニタの位置づけ

Mole はメニューバーにライブのネットワークスループットを、CPU、メモリ、熱状態の隣に置きます。忙しい接続はあとから再構成するのではなく、起きているときに見えます。測れるスループットを報告し、macOS が提供しないアプリごとの履歴をうたうためのネットワークフィルタは入れません。

よくある質問

なぜ mDNSResponder はこんなにデータを使うのですか？

名前解決とローカルネットワーク探索をシステム全体で担当するため、他の多くのプロセスの通信がここに計上されます。自身で何かをダウンロードしているわけではありません。

昨日アプリが使ったデータ量は見られますか？

macOS からは見られません。アプリごとの履歴は内蔵されていません。これを提供するサードパーティツールは、自分で通信を観測するネットワーク拡張を入れます。

ホットスポットで何がデータを使っているか調べるには？

システム設定 > Wi-Fi > 詳細で、そのネットワークの低データモードをオンにします。自動アップデートのダウンロードを含むいくつかのバックグラウンドサービスが止まります。残ったものには、上の nettop 差分を使います。

ネットワーク通信が多いのはマルウェアの兆候ですか？

最初の兆候になることはほとんどなく、上のよくある説明でほぼすべてのケースがカバーされます。定常的なバックグラウンド通信を疑わしいと扱う前に、それらを順に確認してください。