Wireshark Analysis
Analyse approfondie de captures réseau avec Wireshark afin de comprendre les communications entre systèmes, examiner les protocoles, appliquer des filtres d’affichage et identifier des comportements réseau anormaux ou potentiellement malveillants.
Transformer des paquets en informations réseau.
Une capture réseau peut contenir des centaines ou des milliers de paquets. Wireshark permet de les organiser, les filtrer et les examiner pour comprendre les communications observées.
Chaque paquet apporte une partie de l’information : adresse source, adresse destination, protocole, port, taille, horodatage et données propres à la couche analysée.
L’analyse consiste à replacer ces paquets dans leur contexte afin de reconstruire les échanges entre les systèmes et comprendre le comportement du trafic.
Dans un contexte de cybersécurité, cette visibilité peut également aider à repérer des communications inhabituelles, des erreurs de protocole ou des événements nécessitant une investigation complémentaire.
Lire une communication couche par couche.
L’inspection d’un paquet permet de distinguer les informations appartenant aux différentes couches de communication.
Capture
Informations générales sur le paquet, notamment sa taille et son horodatage.
Ethernet
Identification des adresses MAC source et destination.
Internet Protocol
Observation des adresses IP source, destination et autres champs réseau.
TCP / UDP
Analyse des ports et des mécanismes de transport utilisés.
Protocoles applicatifs
Identification et lecture des protocoles applicatifs lorsque les données sont visibles.
Une analyse en cinq étapes.
Collecter
Ouvrir une capture PCAP ou observer directement une interface réseau.
Observer
Examiner les principaux protocoles, adresses et types de communications.
Filtrer
Réduire la capture aux paquets réellement utiles à l’investigation.
Inspecter
Examiner les champs, séquences et conversations pertinentes.
Interpréter
Relier les observations afin d’identifier un comportement normal ou nécessitant davantage d’analyse.
Isoler rapidement le trafic pertinent.
Les filtres d’affichage permettent de réduire le bruit sans modifier le contenu original de la capture.
Trafic TCP
Afficher uniquement les paquets utilisant TCP.
tcp
Adresse IP
Isoler les communications impliquant une adresse précise.
ip.addr == 192.168.1.10
Port TCP
Limiter l’affichage aux communications utilisant un port défini.
tcp.port == 443
Requêtes DNS
Se concentrer sur les communications liées à la résolution de noms.
dns
Messages ICMP
Examiner les communications utilisant ICMP.
icmp
Combiner les critères
Construire un filtre ciblant plusieurs conditions.
ip.addr == 192.168.1.10 && tcp.port == 443
Comprendre les principaux échanges.
Transmission Control Protocol
Analyse des connexions, ports, numéros de séquence, acquittements et échanges entre deux hôtes.
User Datagram Protocol
Observation des datagrammes sans établissement préalable d’une connexion.
Domain Name System
Analyse des requêtes et réponses permettant d’associer des noms de domaine à des adresses.
Internet Control Message Protocol
Analyse de messages de contrôle pouvant notamment aider à comprendre la connectivité réseau.
Reconstituer une conversation.
L’analyse ne s’arrête pas à un paquet isolé. Une conversation peut être examinée comme une séquence cohérente d’échanges.
192.168.1.10 → 203.0.113.20
203.0.113.20 → 192.168.1.10
Continued application traffic
Response received
Identifier les deux extrémités
Déterminer quels systèmes participent réellement à la conversation.
Reconstituer l’ordre
Observer l’enchaînement des données entre client et serveur.
Comprendre le contexte
Une séquence complète apporte davantage de contexte qu’un paquet étudié isolément.
Rechercher les comportements anormaux.
Une capture peut révéler des événements qui méritent une analyse supplémentaire.
Connexions inhabituelles
Identifier un hôte communiquant avec une destination inattendue.
Ports inattendus
Examiner des communications utilisant des ports non habituels dans le contexte observé.
Volume anormal
Repérer une quantité importante de paquets ou une fréquence inhabituelle d’échanges.
Requêtes DNS suspectes
Examiner certains domaines, fréquences ou comportements DNS nécessitant une investigation.
Échecs répétés
Observer des retransmissions, erreurs ou tentatives répétitives inhabituelles.
Corrélation réseau
Relier IP, ports, protocoles et chronologie pour construire une vue plus complète.
Prendre de la hauteur sur la capture.
Les statistiques permettent d’obtenir une vue agrégée avant de descendre dans les détails d’un paquet particulier.
Qui échange avec qui ?
Identifier les principales paires de systèmes participant aux communications.
Quels hôtes sont actifs ?
Repérer les adresses les plus présentes dans la capture.
Quels protocoles dominent ?
Comprendre rapidement la composition générale du trafic.
Une analyse visuelle et détaillée.
Explorer une capture sous plusieurs angles
L’interface graphique permet de passer rapidement d’une vue globale du trafic à l’inspection précise des champs d’un paquet individuel.
Liste structurée de tous les paquets capturés.
Décodage détaillé des protocoles.
Filtres d’affichage puissants.
Reconstitution des conversations réseau.
Statistiques sur protocoles, endpoints et flux.
Comprendre le réseau paquet par paquet.
Ce projet met en pratique l’inspection détaillée du trafic réseau et montre comment transformer une capture brute en informations utiles à l’analyse réseau et à la cybersécurité.
Lire et interpréter une capture réseau.
Identifier les principales couches et protocoles.
Construire des filtres d’affichage ciblés.
Examiner une conversation TCP complète.
Rechercher des comportements réseau nécessitant une investigation.
Compétences mobilisées.
Capturer. Filtrer. Inspecter. Comprendre.
Wireshark fournit une visibilité détaillée sur les communications réseau. En combinant inspection des paquets, filtres, analyse des protocoles, conversations et statistiques, il devient possible de comprendre précisément le trafic et d’identifier les événements nécessitant une investigation approfondie.