Wireshark — Analyse de Trafic Réseau

Introduction

Wireshark est l'analyseur de protocoles réseau le plus utilisé au monde. Il permet de capturer et d'inspecter le trafic réseau en temps réel, ce qui en fait un outil indispensable pour le diagnostic réseau et l'investigation de sécurité.

Filtres d'Affichage

Les filtres d'affichage permettent d'isoler les paquets pertinents dans une capture.

Filtres par Protocole

# Filtrer par protocole
http
dns
tcp
udp
icmp
arp
tls
 
# Combiner des filtres
http || dns
tcp && !arp

Filtres par Adresse

# Par adresse IP
ip.addr == 192.168.1.1
ip.src == 10.0.0.1
ip.dst == 172.16.0.1
 
# Par sous-réseau
ip.addr == 192.168.1.0/24
 
# Par adresse MAC
eth.addr == aa:bb:cc:dd:ee:ff
 
# Par port
tcp.port == 443
tcp.dstport == 80
udp.port == 53

Filtres Avancés

Capture en Ligne de Commande

L'outil tshark est la version CLI de Wireshark :

# Capturer sur une interface
tshark -i eth0
 
# Capturer avec un filtre
tshark -i eth0 -f "port 80"
 
# Sauvegarder dans un fichier
tshark -i eth0 -w capture.pcap
 
# Lire un fichier pcap
tshark -r capture.pcap
 
# Extraire des champs spécifiques
tshark -r capture.pcap -T fields -e ip.src -e ip.dst -e tcp.port

Analyse de Protocoles

Reconstituer un Flux TCP

Pour suivre une conversation TCP complète :

1. Clic droit sur un paquet → Follow → TCP Stream
2. Le flux reconstitué s'affiche en couleurs (client/serveur)

Statistiques Utiles

• Statistics → Conversations : Vue d'ensemble des communications
• Statistics → Protocol Hierarchy : Répartition des protocoles
• Statistics → Endpoints : Liste des hôtes actifs
• Statistics → I/O Graphs : Graphiques de trafic dans le temps

[Client]              [Server]
   │                     │
   │ ── SYN ──────────> │
   │                     │
   │ <──── SYN/ACK ──── │
   │                     │
   │ ── ACK ──────────> │
   │                     │
   │   Connection Open   │

Résumé

Wireshark est un outil fondamental pour comprendre ce qui se passe réellement sur un réseau. La maîtrise de ses filtres d'affichage est la clé pour une analyse efficace.