tcpdump Analysis
Capture et filtrage de paquets réseau directement depuis la ligne de commande avec tcpdump. Le projet permet d’observer les communications réseau, d’identifier les protocoles, les adresses IP, les ports et les flux afin de mieux comprendre ce qui circule réellement dans un environnement Linux.
sudo tcpdump -i eth0 -n
tcpdump -i eth0 tcp port 443
Observer ce qui circule sur le réseau.
tcpdump permet de capturer directement les paquets transitant par une interface réseau et d’afficher leurs principales caractéristiques depuis un terminal Linux.
L’analyse du trafic réseau est essentielle pour comprendre les échanges entre systèmes. Chaque communication génère des paquets contenant notamment des informations sur leur source, leur destination et le protocole utilisé.
L’intérêt de tcpdump réside dans sa capacité à observer ces communications sans dépendre d’une interface graphique. Les captures peuvent être affinées à l’aide de filtres afin de se concentrer sur une machine, un protocole, un port ou une direction précise.
Cette approche facilite l’analyse technique des communications réseau et constitue une compétence importante en administration système, diagnostic réseau et cybersécurité.
Comprendre une ligne de capture.
Une sortie tcpdump regroupe plusieurs informations permettant de reconstruire rapidement une communication.
Horodatage
Indique précisément à quel moment le paquet a été observé par l’interface de capture.
Adresse source
Identifie le système ou l’interface à l’origine de la communication.
Adresse destination
Représente le système ou service vers lequel le paquet est envoyé.
Service réseau
Le numéro de port aide à identifier le service impliqué dans la communication.
De la capture à l’interprétation.
Choisir l’interface
Déterminer l’interface réseau sur laquelle le trafic doit être observé.
Capturer
Démarrer l’observation des paquets traversant l’interface sélectionnée.
Filtrer
Réduire le volume de données pour se concentrer sur les communications pertinentes.
Interpréter
Examiner les adresses, ports, protocoles et directions afin de comprendre le trafic.
Réduire le bruit pour trouver l’information utile.
tcpdump prend tout son intérêt lorsque les filtres permettent de cibler précisément une partie du trafic réseau.
Capturer une interface
Sélectionner l’interface réseau à surveiller.
tcpdump -i eth0
Filtrer une adresse IP
Afficher uniquement le trafic impliquant un hôte spécifique.
tcpdump host 192.168.1.10
Filtrer un service
Limiter la capture aux communications utilisant un port donné.
tcpdump port 443
Filtrer un protocole
Se concentrer sur une famille précise de communications.
tcpdump icmp
Filtrer par origine
Observer uniquement les paquets provenant d’une adresse spécifique.
tcpdump src host 192.168.1.10
Filtrer par destination
Afficher les paquets dont la cible correspond à l’adresse définie.
tcpdump dst host 192.168.1.20
Combiner plusieurs critères.
Les expressions de filtrage permettent de construire des recherches plus précises.
Deux conditions obligatoires
Le paquet doit correspondre aux deux critères définis.
tcpdump tcp and port 443
L’un ou l’autre
La capture conserve les paquets correspondant à au moins un critère.
tcpdump port 80 or port 443
Exclure du trafic
Certaines communications peuvent être volontairement retirées de l’affichage.
tcpdump not port 22
Distinguer les communications observées.
Transmission Control Protocol
L’observation du trafic TCP permet d’identifier les échanges utilisant des connexions établies entre systèmes.
User Datagram Protocol
Les datagrammes UDP peuvent être examinés afin d’identifier des échanges tels que certaines requêtes DNS.
Internet Control Message Protocol
Les messages ICMP fournissent des informations utiles pour analyser la connectivité ou certains événements réseau.
Ce que l’on peut chercher dans une capture.
L’analyse ne consiste pas simplement à collecter des paquets. L’objectif est d’interpréter les communications observées.
Qui communique ?
Identifier les adresses IP source et destination impliquées dans chaque échange.
Quel protocole ?
Déterminer la nature générale des communications observées.
Quel service ?
Examiner les ports utilisés pour comprendre quels services réseau sont sollicités.
Dans quelle direction ?
Distinguer trafic entrant, sortant et échanges entre systèmes internes.
Quelle fréquence ?
Observer la répétition des échanges et les volumes de trafic visibles.
Quel comportement ?
Rechercher des communications inattendues ou nécessitant une investigation supplémentaire.
Enregistrer pour analyser plus tard.
Une capture peut également être conservée dans un fichier afin d’être relue ultérieurement.
Enregistrer une capture
L’option -w permet d’écrire les paquets capturés dans un fichier.
tcpdump -i eth0 -w capture.pcap
Relire une capture
L’option -r permet de réexaminer un fichier précédemment enregistré.
tcpdump -r capture.pcap
Pourquoi analyser depuis le terminal.
Une approche légère et directe
L’outil fonctionne directement en ligne de commande et permet de travailler dans des environnements Linux où aucune interface graphique n’est nécessaire.
Utilisable directement depuis un terminal Linux.
Filtrage précis avant même l’affichage des paquets.
Adapté au diagnostic rapide d’une communication réseau.
Possibilité d’enregistrer des captures au format PCAP.
Pertinent sur des systèmes administrés à distance.
Lire le réseau directement depuis la ligne de commande.
Ce projet met en pratique l’analyse réseau dans un environnement Linux et montre comment passer d’un flux important de paquets à une observation ciblée grâce aux filtres.
Capturer du trafic depuis une interface réseau.
Lire les principales informations présentes dans une sortie tcpdump.
Filtrer par adresse IP, protocole ou port.
Comprendre la direction d’une communication réseau.
Enregistrer et relire des captures réseau.
Compétences mobilisées.
Observer. Filtrer. Comprendre le trafic.
tcpdump permet d’obtenir une visibilité directe sur les communications réseau depuis un système Linux. La maîtrise de la capture et du filtrage des paquets facilite le diagnostic, l’analyse des protocoles et l’identification de comportements nécessitant une investigation supplémentaire.