Investigation réseau avec Wireshark

L'analyse forensique des réseaux examine les données de paquets capturées (fichiers PCAP) afin de reconstituer l'activité de l'attaquant au niveau du réseau : déplacement latéral, communications C2, vol d'identifiants, exfiltration de données et anomalies de protocole invisibles lors d'une analyse des hôtes.

Collectez les preuves réseau avec Wireshark (interface interactive), tcpdump (CLI) ou des sondes réseau dédiées. Déployez des ports miroir ou des sondes réseau sur les segments critiques avant qu'un incident ne survienne. Une analyse rétrospective nécessite une infrastructure de capture déjà en place.

Les filtres d'affichage restreignent l'analyse : http affiche HTTP, tcp.port==443 filtre HTTPS, ip.addr==10.0.0.5 cible un hôte précis, dns filtre les requêtes de noms et tcp.flags.syn==1 && tcp.flags.ack==0 cible les paquets contenant uniquement SYN (détection d'un balayage de ports).

Cliquez avec le bouton droit sur un paquet, puis sélectionnez → Follow → TCP Stream pour reconstituer la conversation complète sous une forme lisible. Pour HTTP, cette opération affiche les corps complets des requêtes et des réponses, ce qui est utile pour reconstituer des données exfiltrées ou des commandes C2.

Les balises C2 se manifestent par des connexions régulières et périodiques vers la même IP externe. Appliquez ip.dst == [suspicious_ip] et examinez le moment des trames : des intervalles constants (toutes les 60, 300 ou 600 secondes) associés à de faibles volumes de données sont caractéristiques d'un comportement de balise.

Les requêtes DNS révèlent les domaines C2, les schémas d'algorithmes de génération de domaines (DGA) et les tunnels DNS. Des noms de domaine à forte entropie (par exemple, a1b2c3d4e5f6.evil.com), des requêtes inhabituelles d'enregistrements TXT et des réponses DNS exceptionnellement volumineuses indiquent un C2 ou une exfiltration de données fondé sur le DNS.

Les protocoles en clair (HTTP, FTP, SMTP, LDAP, Telnet) transmettent les identifiants en clair, visibles dans les captures de paquets. Filtrez avec http contains "password" ou ftp contains "PASS" afin d'identifier l'exposition d'identifiants pendant la fenêtre temporelle de l'incident.

Le trafic TLS chiffré ne peut pas être déchiffré sans clés privées ou secrets pré-maîtres. Toutefois, les empreintes JA3 identifient les bibliothèques clientes TLS (les logiciels malveillants possèdent des hachages JA3 caractéristiques), les noms alternatifs du sujet des certificats révèlent l'infrastructure C2 et le moment du trafic reste visible.

Indicateurs d'exfiltration : transferts de données sortants volumineux vers des destinations inhabituelles, requêtes HTTP POST dont le corps est encodé en base64, réponses DNS exceptionnellement volumineuses (tunnel DNS), paquets ICMP contenant de grandes charges utiles et trafic sortant pendant les heures non ouvrées.

NetworkMiner reconstitue passivement les fichiers transférés à partir de PCAP : les images, les documents et les exécutables transférés via HTTP ou SMB apparaissent comme des fichiers pouvant être extraits. Il extrait également automatiquement les identifiants, les certificats et les messages du trafic capturé.

Extrayez les horodatages des principaux événements réseau : première connexion au C2, transmission d'identifiants, déplacement latéral (tentatives d'authentification vers des hôtes internes) et préparation ou exfiltration de données. Ces horodatages réseau sont mis en corrélation avec les artefacts provenant des hôtes pour créer la chronologie complète de l'incident.

L'analyse forensique des réseaux avec Wireshark reconstitue l'activité réseau de l'attaquant à partir de preuves PCAP. La détection des balises C2, l'analyse DNS des tunnels, le vol d'identifiants dans les protocoles en clair, l'identification par empreintes JA3 du trafic TLS et la reconnaissance des schémas d'exfiltration de données révèlent ensemble les preuves de l'attaque au niveau du réseau.