Lebosq Networks, accueilDemander un devis

Pourquoi sécuriser un réseau ? · leçon 5 sur 6

Analyser du trafic

Analyse de trafic réseau · Capture de paquets · Détection d'anomalies

Plan du cours

Pourquoi sécuriser un réseau ?

  1. Pourquoi sécuriser un réseau ?
  2. Les attaques côté réseau
  3. Les attaques côté protocoles
  4. Les premières lignes de défense
  5. Analyser du trafic
  6. Et maintenant ?
Objectif de cette leçon

Comprendre ce qu'un attaquant voit sur votre réseau. Wireshark est l'outil de référence — utilisé par les ingénieurs réseau, les analystes sécurité et... les attaquants. Apprendre à s'en servir, c'est apprendre à penser comme l'adversaire.

Qu'est-ce que Wireshark ?

Wireshark est un analyseur de protocoles réseau (ou "sniffer") open source. Il capture tous les paquets qui transitent par votre interface réseau et les affiche de manière détaillée, couche par couche.

Gratuit & open source

wireshark.org — disponible Windows, Mac, Linux

Analyse en temps réel

Capture en direct ou analyse de fichiers .pcap enregistrés

Tous les protocoles

Comprend +3000 protocoles réseau (Ethernet, IP, TCP, HTTP, DNS...)

Lire une capture Wireshark

Chaque ligne dans Wireshark représente un paquet. Voici comment se lire une capture :

No. Time Source Destination Protocol Info
1 0.000000 192.168.1.50 192.168.1.1 ARP Who has 192.168.1.1? Tell 192.168.1.50
2 0.001200 192.168.1.1 192.168.1.50 ARP 192.168.1.1 is at aa:bb:cc:dd:ee:ff
3 0.005000 192.168.1.50 8.8.8.8 DNS Standard query A www.google.com
4 0.045000 8.8.8.8 192.168.1.50 DNS Standard query response A 142.250.74.196
5 0.046000 192.168.1.50 142.250.74.196 TCP 49215 → 443 [SYN]
6 0.080000 142.250.74.196 192.168.1.50 TCP 443 → 49215 [SYN, ACK]
7 0.080500 192.168.1.50 142.250.74.196 TCP 49215 → 443 [ACK]
Que lire dans cette capture ?
  • Lignes 1–2 : Échange ARP — la machine résout l'adresse MAC de la passerelle (couche 2)
  • Lignes 3–4 : Requête DNS — résolution de www.google.com → on voit le domaine en clair (couche 7)
  • Lignes 5–7 : Handshake TCP en 3 étapes vers le port 443 (HTTPS) — SYN, SYN-ACK, ACK (couche 4)

Détecter une anomalie dans une capture

Voyons maintenant une capture suspecte. Saurez-vous repérer le problème ?

No. Source Destination Protocol Info
1 192.168.1.10 Broadcast ARP 192.168.1.1 is at ee:ff:00:11:22:33
2 192.168.1.10 Broadcast ARP 192.168.1.1 is at ee:ff:00:11:22:33
3 192.168.1.10 Broadcast ARP 192.168.1.1 is at ee:ff:00:11:22:33
4 192.168.1.10 Broadcast ARP 192.168.1.1 is at ee:ff:00:11:22:33
5 192.168.1.10 Broadcast ARP 192.168.1.1 is at ee:ff:00:11:22:33
… (200 fois en 1 seconde)
Anomalie détectée — ARP Spoofing en cours !
Une machine envoie en rafale des réponses ARP non sollicitées pour se faire passer pour la passerelle. C'est exactement la signature d'une attaque ARP Spoofing vue en leçon 3. Un IDS (Intrusion Detection System) déclencherait une alerte ici.

Filtres Wireshark utiles

FiltreCe qu'il montre
arpTous les échanges ARP — utile pour détecter un ARP Spoofing
dnsToutes les requêtes DNS — voir les domaines visités
tcp.flags.syn == 1Toutes les tentatives de connexion TCP — détecter un scan de ports ou SYN Flood
httpTrafic HTTP en clair — mots de passe, cookies visibles si pas de HTTPS
ip.addr == 192.168.1.10Tout le trafic d'une adresse IP spécifique

Mise en pratique

  1. Téléchargez Wireshark sur wireshark.org
  2. Lancez une capture sur votre interface réseau principale
  3. Ouvrez un navigateur et visitez un site HTTP (pas HTTPS) — http://example.com
  4. Filtrez avec http — pouvez-vous voir la requête en clair ?
  5. Filtrez avec dns — voyez-vous les domaines que vous visitez ?

⚠ N'analysez que votre propre trafic réseau. Capturer le trafic d'un réseau sans autorisation est illégal.

À retenir
  • Wireshark permet de voir exactement ce qui transite sur un réseau, couche par couche
  • Le trafic HTTP non chiffré expose mots de passe et cookies en clair
  • Une rafale de réponses ARP non sollicitées = signature probable d'un ARP Spoofing
  • Penser comme un attaquant est la meilleure façon d'apprendre à se défendre — c'est le principe du pentesting

Cours mis à jour en mars 2026.