Lecture des protocoles

Le trafic réseau est organisé en couches. Chaque paquet encapsule un protocole de couche supérieure dans un protocole de couche inférieure, comme des enveloppes placées les unes dans les autres.

Lire le trafic consiste à retirer ces couches dans le bon ordre.

Une connexion TCP commence par une poignée de main en trois étapes : SYN, SYN-ACK, ACK. L’observer confirme qu’une véritable connexion a été établie.

Un SYN sans réponse SYN-ACK signifie souvent que le port est fermé ou qu’un pare-feu a rejeté le paquet.

Les drapeaux TCP révèlent l’état de la connexion. Apprenez à reconnaître les plus courants pour suivre une conversation.

• SYN : démarrage.
• ACK : accusé de réception.
• FIN : fermeture normale.
• RST : réinitialisation brutale.

Wireshark peut suivre un flux TCP afin de réassembler une conversation sous forme de texte lisible plutôt que de paquets dispersés.

Cliquez avec le bouton droit sur un paquet et choisissez « Suivre » pour afficher ensemble la requête et la réponse complètes.

Le trafic HTTP est en texte brut lorsqu’il n’est pas chiffré. Vous pouvez lire directement la méthode, le chemin, les en-têtes et le corps.

HTTP non chiffré constitue donc une source d’analyse riche, mais aussi un risque pour le propriétaire du réseau.

HTTPS encapsule HTTP dans TLS, ce qui chiffre la charge utile. Vous pouvez tout de même voir la poignée de main TLS, le nom d’hôte SNI et le certificat.

Sans les clés, vous ne pouvez pas lire le corps, mais les métadonnées racontent tout de même une histoire.

Les requêtes DNS révèlent les domaines qu’un hôte tente de joindre, souvent avant même qu’une connexion soit établie.

Une requête et sa réponse indiquent le nom demandé et l’adresse résolue.

DNS est une véritable mine d’or pour les analystes. Les recherches de domaines connus comme malveillants, les sous-domaines aléatoires très longs ou un volume de requêtes inhabituellement élevé sont autant d’indices d’un comportement suspect.

Nous nous appuierons largement sur ces éléments pour rechercher des anomalies.

Tout ne passe pas par TCP. UDP est sans connexion (utilisé par DNS, DHCP et QUIC), tandis qu’ICMP transporte des messages de contrôle comme les erreurs de ping et d’inaccessibilité.

Un volume inhabituel d’ICMP peut signaler un balayage ou un tunnel.

Le menu Statistiques de Wireshark résume une capture : hiérarchie des protocoles, conversations et points d’extrémité.

Commencez votre analyse ici pour voir quels protocoles prédominent et quels hôtes communiquent le plus.

Les bons analystes se font une idée de ce qui est normal pour un réseau. Une fois que vous connaissez la situation normale, les anomalies sautent aux yeux.

Lire couramment les protocoles est la base de tout ce qui suit.

Vérifiez votre compréhension de la lecture des protocoles.

Vous avez appris à lire les protocoles réseau.

• Le trafic est organisé en couches : Ethernet, IP, TCP/UDP et application.
• TCP commence par SYN, SYN-ACK, ACK ; les drapeaux révèlent l’état.
• La fonction « Suivre le flux TCP » réassemble les conversations.
• HTTP est lisible ; HTTPS n’expose que les métadonnées TLS et SNI.
• DNS révèle les destinations ; utilisez les statistiques pour déterminer ce qui est normal.

Vous allez maintenant détecter les anomalies et le trafic malveillant.