2026-06-02

Wireshark USB Filter: USBPcap, usbmon, Bus Scope로 올바른 Device 찾기

USB capture는 순식간에 압도적인 양이 됩니다. 한 machine 안에서 keyboard, mouse, webcam, Bluetooth adapter, storage device, serial adapter, security key, internal hub가 동시에 active일 수 있습니다.

USB capture는 순식간에 압도적인 양이 됩니다. 한 machine 안에서 keyboard, mouse, webcam, Bluetooth adapter, storage device, serial adapter, security key, internal hub가 동시에 active일 수 있습니다. 사용자가 "Wireshark USB filter", "USBPcap filter device", "usbmon filter endpoint", "how to find my USB device in capture"를 검색할 때 대개 문제는 같습니다. Capture에는 traffic이 너무 많고 structure는 부족합니다.

Bus Scope는 USB inspection을 더 직접적으로 만들기 위해 설계되었지만, filtering 문제를 이해하는 것은 여전히 중요합니다. Capture가 Windows의 USBPcap, Linux의 usbmon, 또는 다른 USB capture source에서 오더라도 핵심은 device를 식별한 뒤 address, endpoint, transfer type, control request 기준으로 trace를 좁히는 것입니다.

Enumeration부터 시작하라

USB device를 식별하는 가장 쉬운 방법은 plug-in부터 capture하는 것입니다. Enumeration에는 device name, vendor ID, product ID, configuration, interface, endpoint, class-specific detail을 알려주는 descriptor가 들어 있습니다.

다음을 찾으세요.

Device가 이미 실행 중인 뒤 capture를 시작하면 descriptor context 없이 endpoint traffic만 보일 수 있습니다. Endpoint number만으로는 충분하지 않기 때문에 filtering이 훨씬 어려워집니다.

Device address는 바뀔 수 있다

USB device address는 enumeration 중 host가 할당합니다. Device가 disconnect되고 reconnect되면 address가 바뀔 수 있습니다. 첫 connection에 맞던 filter가 두 번째 connection을 놓칠 수 있습니다.

Reset loop를 debug할 때 특히 중요합니다. Device가 반복해서 re-enumerate된다면 하나의 capture 안에서 여러 address를 추적해야 할 수 있습니다. Product/vendor descriptor는 그 address들이 같은 physical device에 속한다는 것을 알려줍니다.

Bus Scope는 address change를 사용자가 머릿속으로 이어 붙이게 하지 않고 그 관계를 계속 보이게 도울 수 있습니다.

Endpoint로 filter하기

Configuration 이후 대부분의 data traffic은 endpoint를 사용합니다. Endpoint zero는 control입니다. 다른 endpoint는 bulk, interrupt, isochronous일 수 있습니다.

일반적인 endpoint 의미는 다음과 같습니다.

Direction bit가 중요합니다. 0x81과 0x01은 같은 endpoint direction이 아닙니다. 예를 들어 serial adapter는 host-to-device data에 bulk OUT endpoint 하나, device-to-host data에 bulk IN endpoint 하나를 사용할 수 있습니다.

Endpoint filter는 관심 있는 traffic이 어느 endpoint를 타는지 이미 알고 난 뒤에 유용합니다.

Transfer type으로 filter하기

USB 문제는 transfer type마다 다른 곳에 숨어 있습니다.

Control transfer: descriptor, configuration, class request, vendor command를 확인합니다.
Bulk transfer: storage, serial data, vendor data, 여러 capture device를 확인합니다.
Interrupt transfer: HID input, status notification, low-latency report를 확인합니다.
Isochronous transfer: audio, video, time-sensitive streaming을 확인합니다.

USB serial device가 open되지만 data를 보내지 않는다면 line coding과 control line state를 control transfer에서 inspection한 뒤 payload는 bulk endpoint에서 봅니다. Webcam이 시작되지만 video가 깨진다면 isochronous transfer와 alternate setting을 inspection합니다. HID device가 이상하게 동작한다면 interrupt transfer와 report descriptor를 inspection합니다.

Transfer type으로 filter하면 noise를 줄이면서 관련 evidence class를 유지할 수 있습니다.

Setup packet으로 filter하기

Control transfer에는 setup packet이 포함됩니다. Setup packet은 request direction, type, recipient, request code, value, index, length를 식별하므로 매우 유용합니다.

중요한 예는 다음과 같습니다.

GET_DESCRIPTOR
SET_ADDRESS
SET_CONFIGURATION
SET_INTERFACE
CLEAR_FEATURE
HID GET_REPORT
HID SET_REPORT
CDC SET_LINE_CODING
CDC SET_CONTROL_LINE_STATE
Vendor-specific commands

Device가 setup 중 실패한다면 setup packet이 어떤 request가 문제를 촉발했는지 정확히 알려주는 경우가 많습니다.

Windows에서 USBPcap capture 대상 선택

Windows에서 USBPcap은 USB host controller에서 capture합니다. Machine에 controller가 여러 개라면 잘못된 controller를 선택했을 때 target device traffic이 전혀 없는 capture가 나올 수 있습니다.

실용적인 workflow는 다음과 같습니다.

Target device를 unplug합니다.
가능성이 높은 controller에서 capture를 시작합니다.
Device를 plug-in합니다.
Enumeration descriptor를 찾습니다.
아무것도 보이지 않으면 다른 controller capture를 시도합니다.
Device를 찾으면 그 capture를 reference로 보존합니다.

Bus Scope의 가치는 이 workflow를 덜 불투명하게 만드는 것입니다. Target은 거대한 packet list가 아니라 USB device conversation입니다.

Linux에서 usbmon capture

Linux에서 usbmon은 USB bus traffic을 노출합니다. Bus number가 중요합니다. Bus 003 Device 012로 표시된 device는 그 순간 bus 3에 속합니다. Reconnect 후에는 device number가 바뀔 수 있습니다.

가장 유용한 capture는 plug-in 전에 시작됩니다. Enumeration이 device identity를 알려주기 때문입니다. Permission이 capture를 막고 있다면 먼저 그것을 해결하세요. 그렇지 않으면 application-level failure만 보고 USB evidence는 전혀 보지 못할 수 있습니다.

흔한 filtering 실수

다음 실수를 피하세요.

Failure 이후만 filter해 enumeration을 놓칩니다.
Device address가 reconnect 후에도 stable하다고 가정합니다.
Endpoint direction을 혼동합니다.
Endpoint zero control traffic을 무시합니다.
Payload packet만 보고 class request를 놓칩니다.
모든 vendor-specific request를 noise로 취급합니다.
Reset과 error를 너무 일찍 filter out합니다.
Hub와 port context를 무시합니다.

깔끔한 filter는 failure를 보존할 때만 유용합니다.

Investigation capture에 남겨야 할 것

Firmware, driver, QA team과 공유할 report라면 다음을 보존합니다.

초기 enumeration.
Target device descriptor.
Host가 선택한 configuration과 interface.
Failure 전 class 또는 vendor-specific request.
Failure에 관련된 endpoint traffic.
Reset, stall, timeout, disconnect event.
Failure가 immediate인지, idle-related인지, load-related인지 보여줄 충분한 timing context.

이 evidence는 "device not recognized" screenshot보다 훨씬 강합니다.

최종 진단

USB filtering은 noise를 숨기는 작업만이 아닙니다. Failure를 설명하는 packet sequence를 보존하는 일입니다. Enumeration에서 시작하고, device를 식별하고, address change를 따라가고, endpoint와 transfer type으로 좁히되 control request는 계속 보이게 두세요.

Bus Scope는 그 workflow를 지원하기 위한 도구입니다. 실제 USB conversation을 빠르게 찾고, device가 왜 동작하고, stall되고, reset되고, 사라지는지 설명하는 bus-level evidence를 inspection할 수 있게 합니다.

“Wireshark USB Filter: USBPcap, usbmon, Bus Scope로 올바른 Device 찾기”의 USB 계약 시험

직접적인 답은 STALL, timeout, reset 하나만으로 원인을 설명할 수 없다는 것입니다. 먼저 capture provider가 올바른 device를 보는지 증명하고 transfer 계약을 읽습니다. 종류, 방향, recipient, wValue, wIndex, 선언 길이, 실제 길이, status, 전후 상태를 확인하고 known-good과 처음 달라지는 transaction에 결론을 연결합니다.

경계	비교 근거	판단
platform	provider, 권한, Root Hub, usbmon/XHC20	올바른 연결의 record인가
setup	bmRequestType, bRequest, wValue, wIndex, wLength	host가 의도한 요청을 보냈는가
data	방향, 길이, 보존 bytes	payload가 계약과 맞는가
status	ACK, STALL, timeout, cancellation	transaction이 어디서 끝났는가
state	configuration, interface, alternate setting, halt	device가 요청을 받을 상태인가

reset과 enumeration 전부터 capture하여 descriptor, SET_CONFIGURATION, SET_INTERFACE, 실패 직전 command를 남깁니다. 좁은 endpoint filter는 결정적인 control transfer를 숨길 수 있습니다. 시험 한 번에는 문서화한 USB 동작 하나만 수행하고 firmware, driver, port, cable, host command, timing 중 하나만 바꿉니다.

인용 가능한 답

관찰한 request, setup field, 응답, 직전 상태를 쓰고 한 변수만 바꾸는 다음 시험을 제시합니다. retention 때문에 보존되지 않은 bytes는 packet loss 증명이 아닙니다. command와 reset의 시간적 근접은 상관관계이며 상태 전환이나 반복 없이 원인으로 단정할 수 없습니다.

VID/PID, firmware, speed, topology, provider, filter, trigger를 고정하고 usbmon과 USBPcap의 frame number 대신 USB 의미 단계로 비교합니다. 시작·종료, 버전, OS, 연결 위치, checksum을 기록하고 Bus Scope 문제 해결에서 검토합니다.

Semrush owner는 분리합니다. free USB analyzer는 제품 페이지, best USB protocol analyzer는 비교 페이지, USB descriptor viewer는 descriptor 안내가 담당합니다. 이 지원 글에 확인되지 않은 검색량이나 KD를 만들지 않습니다.

직접 답변과 인수 경계

“Wireshark USB Filter: USBPcap, usbmon, Bus Scope로 올바른 Device 찾기”에 대한 짧은 답은 다음과 같습니다. USB capture는 순식간에 압도적인 양이 됩니다. 한 machine 안에서 keyboard, mouse, webcam, Bluetooth adapter, storage device, serial adapter, security key, internal hub가 동시에 active일 수 있습니다. 이 문장을 모든 입력, 장치, 프로젝트, 환경에 대한 약속이 아니라 검증할 결과로 다루십시오. 완료된 결과에는 시작 상태, 정확한 작업, 보이는 출력, Bus Scope에서 작업이 끝났음을 증명하는 조건이 기록됩니다.

근거 우선 작업 절차

전체 프로젝트를 바꾸기 전에 작고 반복 가능한 사례에서 시작하십시오. 앱 버전, 운영체제, 입력 또는 장치 식별, 관련 설정과 예상 결과를 기록합니다. 한 가지 의도적인 작업을 실행하고 첫 예상 밖 전환을 보존하며 가능한 경우 정상 사례와 비교합니다. 여러 설정을 동시에 바꾸면 문제를 만든 조건이나 해결한 조건을 알 수 없습니다.

확인점 1: Wireshark USB Filter: USBPcap, usbmon, Bus Scope로 올바른 Device 찾기

“Wireshark USB Filter: USBPcap, usbmon, Bus Scope로 올바른 Device 찾기”이 모호하면 조건을 맞춘 정상 사례와 실패 사례를 비교합니다. 이후의 모든 증상보다 처음 나타난 의미 있는 차이를 표시하십시오. 이 경계가 더 명확한 지원 요청과 안전한 다음 실험을 만듭니다.

확인점 2: USB capture는 순식간에 압도적인 양이 됩니다. 한 machine 안에서 keyboard, mouse, webcam, Bluetooth adapter, s

“USB capture는 순식간에 압도적인 양이 됩니다. 한 machine 안에서 keyboard, mouse, webcam, Bluetooth adapter, storage device, serial adapter, security key, internal hub가 동”은 가장 작고 대표적인 입력으로 검증합니다. 관련 없는 설정은 유지하고 같은 작업을 반복하며 다시 열거나 연결한 뒤에도 결과가 유지되는지 확인합니다. 한 장의 화면보다 입력, 설정, 작업, 출력, 시간이 포함된 기록이 강합니다.

확인점 3: Enumeration부터 시작하라

“Enumeration부터 시작하라”이 모호하면 조건을 맞춘 정상 사례와 실패 사례를 비교합니다. 이후의 모든 증상보다 처음 나타난 의미 있는 차이를 표시하십시오. 이 경계가 더 명확한 지원 요청과 안전한 다음 실험을 만듭니다.

확인점 4: Device address는 바뀔 수 있다

“Device address는 바뀔 수 있다”은 가장 작고 대표적인 입력으로 검증합니다. 관련 없는 설정은 유지하고 같은 작업을 반복하며 다시 열거나 연결한 뒤에도 결과가 유지되는지 확인합니다. 한 장의 화면보다 입력, 설정, 작업, 출력, 시간이 포함된 기록이 강합니다.

확인점 5: Endpoint로 filter하기

“Endpoint로 filter하기”이 모호하면 조건을 맞춘 정상 사례와 실패 사례를 비교합니다. 이후의 모든 증상보다 처음 나타난 의미 있는 차이를 표시하십시오. 이 경계가 더 명확한 지원 요청과 안전한 다음 실험을 만듭니다.

확인점 6: Transfer type으로 filter하기

“Transfer type으로 filter하기”은 가장 작고 대표적인 입력으로 검증합니다. 관련 없는 설정은 유지하고 같은 작업을 반복하며 다시 열거나 연결한 뒤에도 결과가 유지되는지 확인합니다. 한 장의 화면보다 입력, 설정, 작업, 출력, 시간이 포함된 기록이 강합니다.

확인점 7: Setup packet으로 filter하기

“Setup packet으로 filter하기”이 모호하면 조건을 맞춘 정상 사례와 실패 사례를 비교합니다. 이후의 모든 증상보다 처음 나타난 의미 있는 차이를 표시하십시오. 이 경계가 더 명확한 지원 요청과 안전한 다음 실험을 만듭니다.

확인점 8: Windows에서 USBPcap capture 대상 선택

“Windows에서 USBPcap capture 대상 선택”은 가장 작고 대표적인 입력으로 검증합니다. 관련 없는 설정은 유지하고 같은 작업을 반복하며 다시 열거나 연결한 뒤에도 결과가 유지되는지 확인합니다. 한 장의 화면보다 입력, 설정, 작업, 출력, 시간이 포함된 기록이 강합니다.

확인점 9: Linux에서 usbmon capture

“Linux에서 usbmon capture”이 모호하면 조건을 맞춘 정상 사례와 실패 사례를 비교합니다. 이후의 모든 증상보다 처음 나타난 의미 있는 차이를 표시하십시오. 이 경계가 더 명확한 지원 요청과 안전한 다음 실험을 만듭니다.

확인점 10: 흔한 filtering 실수

“흔한 filtering 실수”은 가장 작고 대표적인 입력으로 검증합니다. 관련 없는 설정은 유지하고 같은 작업을 반복하며 다시 열거나 연결한 뒤에도 결과가 유지되는지 확인합니다. 한 장의 화면보다 입력, 설정, 작업, 출력, 시간이 포함된 기록이 강합니다.

인수 매트릭스

확인점	보존할 근거	통과 조건
Wireshark USB Filter: USBPcap, usbmon, Bus Scope로 올바른 Device 찾기	시작 상태, 한 작업, 결과 상태	두 번째 담당자가 같은 결과를 재현한다
USB capture는 순식간에 압도적인 양이 됩니다. 한 machine 안에서 keyboard, mouse, webcam, Bluetooth adapter, storage device, serial adapter,	시작 상태, 한 작업, 결과 상태	두 번째 담당자가 같은 결과를 재현한다
Enumeration부터 시작하라	시작 상태, 한 작업, 결과 상태	두 번째 담당자가 같은 결과를 재현한다
Device address는 바뀔 수 있다	시작 상태, 한 작업, 결과 상태	두 번째 담당자가 같은 결과를 재현한다
Endpoint로 filter하기	시작 상태, 한 작업, 결과 상태	두 번째 담당자가 같은 결과를 재현한다
Transfer type으로 filter하기	시작 상태, 한 작업, 결과 상태	두 번째 담당자가 같은 결과를 재현한다

실패 분리, 복구, 인계

처음 실패한 경계에서 멈추십시오. 소스, 프로젝트, 세션 또는 캡처를 보존하고 파괴적 편집 전에 복사하며 실험마다 한 변수만 변경합니다. 여러 변경 뒤 전체 흐름을 반복해 결과가 달라져도 원인은 설명되지 않습니다.

근거가 없는 것과 없다는 근거를 구분하십시오. 빈 화면은 잘못된 입력, 범위, 필터, 권한, 장치, 시간대 또는 프로젝트 상태일 수 있습니다. decoder, 편집기, 보고서, 내보내기를 해석하기 전에 획득 또는 가져오기 경로를 확인합니다.

인계 전에 결과물을 다시 열어 시작, 판단 지점, 끝을 확인합니다. 버전, 플랫폼, 설정, 기대, 관찰, 최소 재현을 기록합니다. 민감한 내용을 제거하거나 가리고 수신자의 권한을 확인합니다.

질문과 답변

가장 빠르고 신뢰할 수 있는 시작 방법은 무엇입니까?

가장 작고 대표적인 사례를 사용하고 예상 결과를 적은 뒤 한 변수만 바꿉니다. 필터, 효과, 편집, 자동화 또는 큰 소스를 추가하기 전에 기본 경로를 확인합니다.

어떤 근거를 저장해야 합니까?

입력 식별, 버전, 플랫폼, 설정, 정확한 작업, 첫 예상 밖 전환, 최종 출력을 보존합니다. 프로젝트, 세션, 보고서 또는 내보내기는 닫고 다시 열어 확인합니다.

언제 절차를 반복해야 합니까?

앱, 운영체제, driver, firmware, 모델, 소스 또는 작업 흐름의 변경이 결과에 영향을 줄 수 있을 때입니다. 이전에 통과한 사례를 변경하지 않은 기준선으로 유지합니다.

언제 인계할 수 있습니까?

권한 있는 다른 사람이 입력을 식별하고 작업을 반복하여 같은 결과를 보고 남은 제한을 이해하며 기록되지 않은 로컬 상태 없이 결과물을 열 수 있을 때입니다.