Mac でネットワークを使っているアプリを見つける

パフォーマンス公開日 更新日 約6分で読めます

何かが回線を使っています。何もしていないのに Wi-Fi のインジケータが動き続け、テザリングの通信量があっという間に尽き、仕事に向かうたびにビデオ通話が劣化します。macOS はこれに答えられますが、ツールは散らばっており、どれも目立つ数字がリアルタイムではなく累計なので、人は間違ったプロセスを追いかけてしまいます。

Activity Monitor のネットワークタブはプロセス名を出しますが、列の数字は各プロセス起動以降の累計です。いま データを動かしているものを見るには nettop を使います。プロセスがどのリモートホストと通信しているかを見るには lsof -i を使います。

Activity Monitor がプロセス名を示す

Activity Monitor を開き、ネットワークタブを選びます。データを動かしたプロセスがすべて、送信バイト数と受信バイト数とともに表示されます。

この列で並べ替えると、間違ったプロセスを追うことになります。数字は各プロセス起動以降の累計なので、前回の再起動から動き続けているデーモンが、いま回線を占有しているアプリより上位に来ます。「受信バイト数」で並べ替えると、ほぼ確実に違うものが先頭に来ます。

人を慌てさせる行が 2 つありますが、たいていは気にしなくてよいものです。

  • mDNSResponder はシステム全体の DNS とローカルネットワーク探索を担当します。何週間も起動し続けた Mac ではギガバイト単位で表示されることがあります。名前解決している他のすべての代理であり、バックグラウンドでダウンロードしているアプリではありません。
  • kernel_task が出るのは、ネットワーク処理がカーネルを通るからです。CPU 側の同じ誤認については kernel_task の CPU 使用率が高い を見てください。

ウインドウ下部には、毎秒の送受信を示すライブグラフがあります。何かを変えたときに見るべきなのは、列ではなくこのグラフです。

Apple の Activity Monitor ネットワークガイドは、プロセス起動後の累計データと、ウインドウ下部にある毎秒の送受信データを区別しています。

nettop がいま動いているものを示す

nettop が本当の問いに答えるツールです。macOS に付属しており、インストールは不要です。

nettop -P -L 2 -d -J bytes_in,bytes_out

,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,

-P はプロセス単位で集約し、-L 2 は CSV を 2 回出力し、-d は後のサンプルを区間差分にし、-J は列を選びます。最初は基準値で、次がその間に動いた量です。継続して見るなら nettop -P -d を対話実行します。

lsof -i が接続先を示す

名前が分かったら、次の問いはたいてい、どこへデータを送っているかです。

lsof -nP -iTCP -sTCP:ESTABLISHED

-n は逆引き DNS を省き、-P はポート名の検索を省き、-iTCP は TCP に限定し、-sTCP:ESTABLISHED は待受中や終了済みのソケットを除きます。通常は一般ユーザーで十分で、システム所有プロセスが欠けるときだけ権限昇格を検討します。

アドレスを解決するときは正直さが必要です。大手クラウド事業者の IP はほとんど何も教えません。インターネットの大半がそこにホストされているからです。手がかりとして扱い、特定とは見なさないでください。

Activity Monitor はプロセスの累計、nettop は現在の差分、lsof は選んだプロセスと接続中の宛先を示します。
三つの表示を順番に使います。プロセス群を見つけ、現在の通信を確認し、最後に接続中の宛先を調べます。

よくある答え

何かがおかしいと決めつける前に、頼んでいないのにネットワークを使うはずのものを確認してください。

原因 見分け方 制御する場所
iCloud 写真の同期 写真の読み込み後に続くアップロード 写真 > 設定 > iCloud
iCloud Drive 大きなファイル変更後の通信 システム設定 > Apple アカウント > iCloud
macOS または App Store のアップデート softwareupdated、appstoreagent システム設定 > 一般 > ソフトウェアアップデート
サードパーティの同期クライアント Dropbox、Google Drive、OneDrive のヘルパー そのアプリ自身の環境設定
バックアップソフト スケジュールどおりの長く安定したアップロード バックアップアプリ
ブラウザのタブ 動画、止まったアップロード、自動再生のページ Chrome のタスクマネージャー、Safari のアクティビティウインドウ

ソフトウェアアップデートは特別に触れておく価値があります。デフォルトでバックグラウンドダウンロードし、macOS のフルインストーラは数ギガバイトあるからです。従量制の回線では、この設定ひとつが問題の全体であることがよくあります。

macOS が教えてくれないこと

人気記事のいくつかが飛ばしているので、限界を 3 つ挙げます。

  • アプリごとの帯域履歴は内蔵されていません。 Activity Monitor も nettop も、プロセス起動時か、見始めた瞬間からの報告です。あとから参照できるアプリごとの記録を、macOS は何も残しません。
  • プロセスごとの累計は、アプリごとの累計ではありません。 ブラウザは通信をレンダラプロセスに分散し、ヘルパーデーモンが複数アプリの通信を一度に担うこともあります。
  • VPN やシステム拡張を通る通信は、拡張側に帰属する ことがあり、発生元のアプリには付きません。

アプリごとの完全な履歴内訳をうたうツールは、独自のネットワークフィルタを入れているか、推定しているかのどちらかです。数字を信じる前に、どちらなのかを知っておく必要があります。

繰り返せる確認手順

  1. Activity Monitor のネットワークタブ下部のライブグラフを見ます。列ではありません。
  2. nettop -P -L 2 -d -J bytes_in,bytes_out を一度実行します。二つのサンプルが出力されるので、二つ目の区間差分を読みます。
  3. 増えたプロセスに対して lsof -i -n -P を実行し、接続先を確認します。
  4. 疑わしいアプリや同期サービスを一時停止し、グラフが下がることを確認します。
  5. 通信量が下がらなくても、他のアプリやヘルパーが原因である可能性は残ります。ソフトウェアアップデート、iCloud、ほかに動いているサービスを順に確認します。

4 番目の手順を人は飛ばしがちですが、特定と推測を分けるのはここです。

モニタの位置づけ

Mole はメニューバーにライブのネットワークスループットを、CPU、メモリ、熱状態の隣に置きます。忙しい接続はあとから再構成するのではなく、起きているときに見えます。測れるスループットを報告し、macOS が提供しないアプリごとの履歴をうたうためのネットワークフィルタは入れません。

よくある質問

なぜ mDNSResponder はこんなにデータを使うのですか？

名前解決とローカルネットワーク探索をシステム全体で担当するため、他の多くのプロセスの通信がここに計上されます。自身で何かをダウンロードしているわけではありません。

昨日アプリが使ったデータ量は見られますか？

macOS からは見られません。アプリごとの履歴は内蔵されていません。これを提供するサードパーティツールは、自分で通信を観測するネットワーク拡張を入れます。

ホットスポットで何がデータを使っているか調べるには？

システム設定 > Wi-Fi > 詳細で、そのネットワークの低データモードをオンにします。自動アップデートのダウンロードを含むいくつかのバックグラウンドサービスが止まります。残ったものには、上の nettop 差分を使います。

ネットワーク通信が多いのはマルウェアの兆候ですか？

通信量の多さだけでは判断できません。まず更新、同期、バックアップを確認し、プロセスの所属、接続先、一時停止後の変化を調べます。それでも説明できない通信が続く場合は、さらに調査が必要です。