Extraction d’artefacts

Les artefacts sont les éléments pertinents dissimulés dans une capture : fichiers transférés, identifiants, images et données de session.

Les récupérer transforme un flux de paquets en preuves concrètes de ce qui a été envoyé et consulté.

Un seul fichier est réparti sur de nombreux segments TCP. Pour le récupérer, vous devez réassembler le flux dans l’ordre.

Wireshark et les outils spécialisés s’en chargent automatiquement lorsque vous suivez un flux ou exportez des objets.

Wireshark peut répertorier chaque fichier transféré via HTTP et l’exporter en un clic.

Cette opération permet de récupérer directement de la capture des documents téléchargés, des images et même des échantillons de logiciels malveillants.

Des protocoles comme HTTP, FTP et Telnet envoient les identifiants en texte clair. Le suivi du flux révèle directement les noms d’utilisateur et les mots de passe.

Cela montre précisément pourquoi ces protocoles sont dangereux sur des réseaux non fiables.

Les filtres d’affichage font rapidement apparaître le trafic d’authentification, afin que vous n’ayez pas à le rechercher manuellement.

Filtrez les formulaires de connexion, les en-têtes d’authentification de base et les protocoles d’identification connus.

L’authentification de base HTTP envoie les identifiants encodés en Base64, et non chiffrés. Le décodage de l’en-tête les révèle instantanément.

Base64 est un encodage, pas une mesure de sécurité.

Lorsqu’un protocole n’est pas pris en charge nativement, vous pouvez extraire par découpage des fichiers à partir des octets bruts en reconnaissant leurs signatures, ou nombres magiques.

Des outils comme foremost ou binwalk analysent la charge utile d’une capture à la recherche de ces marqueurs.

NetworkMiner est un outil conçu pour extraire des artefacts. Fournissez-lui un fichier pcap et il récupère automatiquement les fichiers, les images, les identifiants et les informations sur les hôtes.

C’est une première analyse rapide avant une recherche manuelle approfondie dans Wireshark.

Les images récupérées peuvent révéler ce qu’un utilisateur a consulté ou téléversé. Les fonctions d’exportation des objets de Wireshark et NetworkMiner reconstituent toutes deux les images provenant du trafic web et des courriels.

Les consulter peut établir directement quelles données ont quitté le réseau.

Si le trafic est chiffré par TLS, vous ne pouvez pas extraire les artefacts sans les clés de session. Avec un fichier journal de clés, vous pouvez le déchiffrer, puis effectuer l’extraction normalement.

Sans les clés, le chiffrement protège la charge utile, ce qui est précisément le but de HTTPS.

Les artefacts extraits peuvent devenir des éléments de preuve. Calculez l’empreinte de chaque fichier, notez où et quand il a été récupéré, puis stockez-le sans le modifier.

Une chaîne de conservation documentée garantit la crédibilité et la recevabilité de vos conclusions.

Vous avez appris à extraire des artefacts à partir de captures.

• Réassemblez les flux TCP pour récupérer les fichiers.
• Exportez les objets HTTP ; suivez les flux pour trouver les identifiants en texte clair.
• L’authentification de base utilise Base64, et non le chiffrement.
• Extrayez les fichiers à l’aide de nombres magiques ; utilisez NetworkMiner pour une extraction rapide.
• Ne déchiffrez TLS qu’avec les clés de session ; maintenez une chaîne de conservation des preuves.

Vous avez terminé le cours d’analyse du trafic réseau.