Comment utiliser Wireshark pour capturer, filtrer et inspecter les paquets ?

Wireshark, un outil d’analyse réseau autrefois connu sous le nom d’Éthéré, capture les paquets en temps réel et les affiche en format lisible par l’homme. Wireshark comprend des filtres, codage des couleurs, et d’autres fonctionnalités qui vous permettent de creuser profondément dans le trafic réseau et d’inspecter les paquets individuels.

Ce tutoriel vous permettra de vous mettre au courant des bases de la capture des paquets, de leur filtrage et de leur inspection. Vous pouvez utiliser Wireshark pour inspecter le trafic réseau d’un programme suspect, analyser le flux de trafic sur votre réseau ou résoudre des problèmes de réseau.

Obtenir Wireshark 

Vous pouvez télécharger Wireshark pour Windows ou macOS à partir de son site officiel. Si vous utilisez Linux ou un autre système unix-like, vous trouverez probablement Wireshark dans ses référentiels de paquets. Par exemple, si vous utilisez Ubuntu, vous trouverez Wireshark dans le Ubuntu Software Center.

Comment utiliser Wireshark pour capturer, filtrer et inspecter les paquets 

Juste un avertissement rapide: De nombreuses organisations n’autorisent pas Wireshark et des outils similaires sur leurs réseaux. N’utilisez pas cet outil au travail à moins d’en avoir la permission.

Capturer des paquets 

Après avoir téléchargé et installé Wireshark, vous pouvez le lancer et cliquer deux fois sur le nom d’une interface réseau sous Capture pour commencer à capturer des paquets sur cette interface. Par exemple, si vous souhaitez capturer du trafic sur votre réseau sans fil, cliquez sur votre interface sans fil. Vous pouvez configurer des fonctionnalités avancées en cliquant sur Capture > Options, mais ce n’est pas nécessaire pour l’instant.

Dès que vous cliquez sur le nom de l’interface, vous verrez que les paquets commencent à apparaître en temps réel. Wireshark capture chaque paquet envoyé à ou depuis votre système. 

Comment utiliser Wireshark pour capturer, filtrer et inspecter les paquets 

Si vous avez activé le mode promiscuité – il est activé par défaut – vous verrez également tous les autres paquets du réseau au lieu de uniquement les paquets adressés à votre adaptateur réseau. Pour vérifier si le mode promiscuité est activé, cliquez sur Capture > Options et vérifiez que la case à cocher « Activer la promiscuité sur toutes les interfaces » est activée au bas de cette fenêtre.

Cliquez sur le bouton rouge « Stop » près du coin supérieur gauche de la fenêtre lorsque vous voulez arrêter de capturer le trafic.

Codage des couleurs 

Vous verrez probablement des paquets mis en surbrillance dans une variété de couleurs différentes. Wireshark utilise des couleurs pour vous aider à identifier les types de trafic en un coup d’œil. Par défaut, le violet clair est le trafic TCP, le bleu clair est le trafic UDP, et le noir identifie les paquets avec des erreurs , par exemple, ils auraient pu être livrés hors de l’ordre.

Comment utiliser Wireshark pour capturer, filtrer et inspecter les paquets 

Pour afficher exactement ce que signifient les codes de couleur, cliquez sur Afficher > règles de coloriage. Vous pouvez également personnaliser et modifier les règles de coloration à partir d’ici, si vous le souhaitez.

Captures d’échantillons 

S’il n’y a rien d’intéressant sur votre propre réseau à inspecter, le wiki de Wireshark vous couvre. Le wiki contient une page d’exemples de fichiers de capture que vous pouvez charger et inspecter. Cliquez sur –> ouvrir dans Wireshark et parcourir pour votre fichier téléchargé pour en ouvrir un.

Comment utiliser Wireshark pour capturer, filtrer et inspecter les paquets 

Vous pouvez également enregistrer vos propres captures dans Wireshark et les ouvrir plus tard. Cliquez sur –> enregistrer pour enregistrer vos paquets capturés.

Filtrer les paquets 

Si vous essayez d’inspecter quelque chose de spécifique, comme le trafic qu’un programme envoie lorsque vous téléphonez à la maison, il aide à fermer toutes les autres applications utilisant le réseau afin que vous puissiez réduire le trafic. Néanmoins, vous aurez probablement une grande quantité de paquets à passer au crible. C’est là que les filtres de Wireshark entrent en en avant. 

Comment utiliser Wireshark pour capturer, filtrer et inspecter les paquets 

La façon la plus élémentaire d’appliquer un filtre est de le taper dans la boîte de filtre en haut de la fenêtre et en cliquant sur Appliquer (ou en appuyant sur Entrez). Par exemple, tapez « dns » et vous ne verrez que les paquets DNS. Lorsque vous commencez à taper, Wireshark vous aidera à autocompleter votre filtre.

Vous pouvez également cliquer sur Analyser > filtres d’affichage pour choisir un filtre parmi les filtres par défaut inclus dans Wireshark. De là, vous pouvez ajouter vos propres filtres personnalisés et les enregistrer pour y accéder facilement à l’avenir.

Comment utiliser Wireshark pour capturer, filtrer et inspecter les paquets 

Pour plus d’informations sur le langage de filtrage d’affichage de Wireshark, lisez la page d’expressions de filtre d’affichage du bâtiment dans la documentation officielle wireshark.

Une autre chose intéressante que vous pouvez faire est de cliquer à droite sur un paquet et sélectionnez Suivez > flux TCP.

Comment utiliser Wireshark pour capturer, filtrer et inspecter les paquets 

Vous verrez la conversation TCP complète entre le client et le serveur. Vous pouvez également cliquer sur d’autres protocoles dans le menu Suivez pour voir les conversations complètes pour d’autres protocoles, le cas échéant.

Fermez la fenêtre et vous trouverez qu’un filtre a été appliqué automatiquement. Wireshark vous montre les paquets qui composent la conversation.

Inspection des paquets 

Cliquez sur un paquet pour le sélectionner et vous pouvez creuser pour afficher ses détails.

Vous pouvez également créer des filtres à partir d’ici — il suffit de cliquer à droite sur l’un des détails et d’utiliser l’Apply as Filter le sous-menu pour créer un filtre basé sur celui-ci.

Wireshark est un outil extrêmement puissant, et ce tutoriel est juste gratter la surface de ce que vous pouvez faire avec elle. Les professionnels l’utilisent pour débobuger les implémentations de protocoles réseau, examiner les problèmes de sécurité et inspecter les internes aux protocoles réseau.

Comment utiliser Wireshark pour capturer, filtrer et inspecter les paquets 

Vous pouvez trouver des informations plus détaillées dans le Guide officiel de l’utilisateur wireshark et les autres pages de documentation sur le site Web de Wireshark.