Wireshark est l'un des analyseurs de paquets réseau les plus utilisés. Il capture le trafic qui passe sur une interface réseau, le décode protocole par protocole et permet de le lire, de le filtrer et de le sauvegarder. Pour un administrateur, c'est un outil de diagnostic. Pour un professionnel de la cybersécurité, c'est un microscope réseau : il montre ce qui circule réellement, et donc ce qu'un attaquant présent sur le même réseau pourrait voir.
Cet article explique à quoi sert Wireshark, comment l'utiliser pas à pas (captures, filtres, suivi de flux), et fait le lien avec les risques des protocoles en clair comme Telnet et HTTP, que notre module de sensibilisation illustre justement avec une capture Wireshark.
Wireshark en bref
Selon Wikipédia, Wireshark a été créé vers 1998 par Gerald Combs sous le nom d'Ethereal, puis rebaptisé Wireshark en mai 2006 pour des raisons de marque. C'est un logiciel libre (licence GNU GPL v2 ou ultérieure), disponible sur Windows, macOS, Linux et d'autres systèmes. Il s'appuie sur les bibliothèques de capture libpcap ou Npcap et propose une version en ligne de commande, TShark. Il lit les formats de capture pcap et pcapng, compatibles avec tcpdump et d'autres outils.
À quoi sert Wireshark en cybersécurité ?
| Usage | Ce que l'on cherche |
|---|---|
| Diagnostic réseau | Retards, retransmissions, erreurs de configuration |
| Analyse d'incident (DFIR) | Communications suspectes, transferts de données inhabituels, connexions vers des adresses inconnues |
| Analyse de comportement d'un malware | Ce qu'un programme contacte, à quel rythme, avec quels protocoles (en laboratoire isolé) |
| Audit des protocoles en clair | Telnet, HTTP, FTP et autres protocoles qui exposent identifiants et contenus |
| Vérification du chiffrement | Confirmer qu'un service utilise bien TLS ou SSH |
| Formation et CTF | Comprendre les protocoles, résoudre des défis de capture |
À retenir : Wireshark ne « pirate » rien. Il lit ce qui passe sur le réseau. Si des données sensibles circulent en clair, c'est un problème de configuration, que Wireshark rend simplement visible.
Un outil légitime, à utiliser dans un cadre légal
Capturer du trafic peut révéler des identifiants, des messages et des données personnelles. Utilisez Wireshark uniquement sur votre propre réseau, sur un laboratoire, ou avec l'autorisation écrite du propriétaire du réseau. Toute capture sans autorisation peut être répréhensible, et les fichiers de capture doivent être protégés comme des données sensibles.
Comment utiliser Wireshark, pas à pas
1. Installer et choisir l'interface
Installez Wireshark depuis le site officiel. Sous Windows, il utilise le pilote de capture Npcap. Au lancement, la liste des interfaces réseau s'affiche : choisissez celle qui porte du trafic (Ethernet ou Wi-Fi), là où le graphique d'activité bouge.
2. Limiter la capture avec un filtre de capture (facultatif)
Les filtres de capture utilisent la syntaxe BPF de libpcap et réduisent la quantité de paquets enregistrés pendant la capture. Voici des exemples issus de la documentation officielle :
host 10.0.0.5
tcp port 23
tcp port 23 and host 10.0.0.5
3. Lancer, puis arrêter la capture
Double-cliquez sur l'interface, ou cliquez sur l'icône bleue en forme d'aileron de requin pour démarrer la capture. Reproduisez l'activité à observer, puis arrêtez. Enregistrez la capture au format pcapng pour l'analyser plus tard.
4. Lire les trois volets
- La liste des paquets : un paquet par ligne (heure, source, destination, protocole, information).
- Le détail du paquet : les couches du protocole (Ethernet, IP, TCP, HTTP…).
- Les octets bruts : le contenu hexadécimal et ASCII.
5. Filtrer l'affichage
Les filtres d'affichage masquent des paquets déjà capturés. Ils sont plus expressifs et se saisissent dans la barre du haut. Exemples de la documentation sur les filtres d'affichage :
ip.addr == 192.168.0.1
tcp.port in {80, 443, 8080}
http.request
D'autres filtres courants pour l'analyse de sécurité :
telnet
ftp
dns
http.request.method == "POST"
tcp.flags.syn == 1 and tcp.flags.ack == 0
Le dernier repère les demandes de connexion TCP (paquets SYN), utile pour détecter un balayage de ports.
| Filtre de capture | Filtre d'affichage | |
|---|---|---|
| Quand ? | Avant et pendant la capture | Après, sur les données capturées |
| Effet | Réduit ce qui est enregistré | Masque seulement des paquets déjà là |
| Syntaxe | BPF (tcp port 23) |
Wireshark (tcp.port == 23) |
6. Suivre un flux : Follow TCP Stream
Sélectionnez un paquet, puis choisissez Analyze → Follow → TCP Stream. Wireshark reconstitue la conversation « telle que l'application la voit », avec les données du client en rouge et celles du serveur en bleu. La documentation cite justement cette fonction pour examiner les mots de passe Telnet.
7. Exploiter les statistiques
Le menu Statistics aide à repérer les anomalies : les conversations les plus volumineuses, la hiérarchie des protocoles, ou un graphique du trafic dans le temps. Un flux régulier et discret vers une adresse inconnue peut trahir un poste compromis qui contacte un serveur de commande et de contrôle.
Le lien avec la sensibilisation : Telnet, HTTP et le trafic en clair
Notre module de sensibilisation sur les trafics en clair reprend précisément ce scénario : un employé se connecte en Telnet à un serveur interne, et un attaquant présent sur le même réseau lance Wireshark. Il reconstitue le flux et lit l'identifiant et le mot de passe en clair. Avec SSH ou TLS, la même capture ne montre plus que des données chiffrées illisibles.
Quels protocoles exposent vos données ?
| Protocole en clair | Ce que Wireshark peut montrer | Alternative sécurisée |
|---|---|---|
| Telnet | Identifiant, mot de passe, commandes | SSH |
| HTTP | Pages, formulaires, cookies, identifiants envoyés par formulaire | HTTPS (TLS) |
| FTP | Identifiant, mot de passe, fichiers transférés | SFTP ou FTPS |
| POP3, IMAP, SMTP sans chiffrement | Identifiants et contenu des messages | Versions chiffrées par TLS |
| SNMP v1 / v2c | Chaînes de communauté, informations d'équipements | SNMP v3 |
Avec HTTPS, le contenu est protégé, mais certaines métadonnées restent observables (adresses IP, volumes, horaires). Pour vérifier la configuration d'un site (certificat, en-têtes), utilisez notre analyseur de certificat et d'en-têtes HTTP, et consultez le référentiel des ports et protocoles pour repérer le numéro de port associé à chaque service.
Un exercice simple en laboratoire
Sur une machine virtuelle ou un réseau de test que vous maîtrisez :
- Démarrez une capture avec le filtre de capture
tcp port 23(outcp port 80pour du HTTP). - Depuis une autre machine de test, ouvrez une session Telnet, ou visitez une page HTTP avec un formulaire fictif.
- Arrêtez la capture, appliquez le filtre d'affichage
telnet(ouhttp.request.method == "POST"), puis utilisez Follow TCP Stream. - Constatez que l'identifiant fictif apparaît en clair, puis refaites le test avec SSH ou HTTPS et comparez.
Les limites de Wireshark
- Sur un réseau commuté, vous ne voyez que le trafic de votre propre machine, sauf si vous utilisez la mise en miroir de port (SPAN) ou un boîtier de capture.
- Le trafic chiffré reste illisible sans clés de déchiffrement. Elles ne servent que dans le cadre de vos propres tests.
- Le Wi-Fi demande un adaptateur compatible avec le mode moniteur pour observer le trafic des autres appareils, et cela ne se fait que sur un réseau qui vous appartient.
- Le volume peut être écrasant : filtrez avant de capturer, et travaillez sur des fenêtres de temps courtes.
Bonnes pratiques
- Capturez le strict nécessaire (filtre de capture, durée limitée).
- Protégez les fichiers pcap : ils peuvent contenir des mots de passe et des données personnelles.
- Supprimez les captures une fois l'analyse terminée, conformément à votre politique de conservation.
- Documentez l'autorisation, le périmètre et les conclusions de chaque analyse.
Points clés
- Wireshark capture et décode le trafic réseau ; c'est un outil légitime, gratuit et open source.
- En cybersécurité, il sert à l'analyse d'incident, à l'audit des protocoles en clair et à la compréhension des communications.
- Les filtres de capture limitent ce qui est enregistré ; les filtres d'affichage aident à analyser.
- Follow TCP Stream montre pourquoi Telnet, HTTP ou FTP sont dangereux : les identifiants y circulent en clair.
- Utilisez-le uniquement dans un cadre autorisé, et privilégiez SSH, HTTPS et les versions chiffrées des protocoles.