Aller au contenu principal

Lab 1.2: Observer le Trafic Réseau avec Wireshark

Objectifs d'Apprentissage​

À la fin de ce laboratoire, vous serez capable de:

  • Installer et configurer Wireshark
  • Capturer du trafic réseau en temps réel
  • Filtrer les paquets pour isoler ce qui vous intéresse
  • Comprendre les protocoles réseau de base (TCP, UDP, DNS, HTTP)
  • Analyser une communication réseau simple

Durée Estimée​

45 minutes

Prérequis​

  • Lab 1.1 complété
  • Droits d'administrateur sur votre ordinateur
  • Connexion Internet active

Contexte Professionnel​

Wireshark est l'outil d'analyse de trafic réseau le plus utilisé au monde par les professionnels IT. Il permet de:

  • Diagnostiquer des problèmes réseau complexes
  • Analyser les performances réseau
  • Comprendre le comportement des applications
  • Détecter des anomalies de sécurité
  • Valider la configuration réseau

Partie 1: Installation de Wireshark​

Étape 1.1: Téléchargement​

  1. Visitez: https://www.wireshark.org/download.html
  2. Téléchargez la version Windows Installer (64-bit)
  3. Exécutez le fichier d'installation

Étape 1.2: Installation​

Paramètres d'installation recommandés:

  • Acceptez toutes les options par défaut
  • IMPORTANT: Installez Npcap quand demandé (nécessaire pour capturer les paquets)
  • Cochez l'option "Install Npcap in WinPcap API-compatible mode" si demandé

Étape 1.3: Premier Lancement​

  1. Lancez Wireshark (en tant qu'administrateur si demandé)
  2. Vous devriez voir la liste de vos interfaces réseau
  3. Identifiez l'interface qui a du trafic (graphique avec des pics)

Questions:

  1. Combien d'interfaces réseau sont listées?
  2. Laquelle montre de l'activité?

Partie 2: Première Capture​

Étape 2.1: Démarrer une Capture​

  1. Double-cliquez sur votre interface réseau active (généralement Ethernet ou Wi-Fi)
  2. Wireshark commence immédiatement à capturer les paquets
  3. Vous verrez des lignes défiler rapidement

Observez:

  • Chaque ligne = un paquet réseau
  • Différentes couleurs = différents types de protocoles
  • Les colonnes montrent: Time, Source, Destination, Protocol, Info

Étape 2.2: Générer du Trafic Simple​

Gardez Wireshark ouvert et dans l'invite de commandes:

Exécutez:

ping google.com -n 4

Dans Wireshark:

  • Vous devriez voir des paquets ICMP apparaître
  • Cherchez les lignes avec "Echo (ping) request" et "Echo (ping) reply"

Étape 2.3: Arrêter la Capture​

Cliquez sur le bouton carré rouge (Stop) dans la barre d'outils.

Questions: 3. Combien de paquets avez-vous capturés en tout? 4. Pouvez-vous identifier les 4 pings que vous avez envoyés?

Partie 3: Filtrage des Paquets​

Vous avez probablement capturé des centaines ou milliers de paquets. Les filtres permettent de voir uniquement ce qui vous intéresse.

Étape 3.1: Filtre ICMP (Ping)​

Dans la barre de filtre (en haut), tapez:

icmp

Appuyez sur Entrée. Maintenant vous ne voyez que les paquets ping!

Observez:

  • Les requêtes (request) de votre ordinateur vers google.com
  • Les réponses (reply) de google.com vers vous

Étape 3.2: Filtre par Adresse IP​

Pour voir tout le trafic vers/depuis une adresse IP spécifique:

ip.addr == 8.8.8.8

(Remplacez par l'IP de google.com trouvée dans votre capture)

Étape 3.3: Effacer un Filtre​

Cliquez sur le X à droite de la barre de filtre pour voir tous les paquets à nouveau.

Partie 4: Capture et Analyse DNS​

Le DNS traduit les noms de domaine (google.com) en adresses IP.

Étape 4.1: Nouvelle Capture DNS​

  1. Effacez la capture actuelle: Fichier → Fermer
  2. Démarrez une nouvelle capture
  3. Appliquez immédiatement le filtre: dns

Étape 4.2: Générer du Trafic DNS​

Dans l'invite de commandes:

Exécutez:

nslookup facebook.com
nslookup youtube.com
nslookup wikipedia.org

Étape 4.3: Analyser les Requêtes DNS​

Dans Wireshark, sélectionnez un paquet DNS "Standard query"

Dans le panneau du bas, développez:

  • Domain Name System (query)
    • Queries
      • Regardez le "Name" demandé

Sélectionnez maintenant un paquet "Standard query response"

Développez:

  • Domain Name System (response)
    • Answers
      • Vous verrez l'adresse IP retournée!

Questions: 5. Quelle est l'adresse IP de facebook.com? 6. Quel est le serveur DNS que votre ordinateur interroge? (regardez la colonne Destination) 7. Combien de temps a pris la requête DNS? (regardez la colonne Time)

Partie 5: Capture HTTP (Trafic Web)​

Étape 5.1: Configuration​

  1. Nouvelle capture
  2. Filtre: http

Étape 5.2: Générer du Trafic HTTP​

IMPORTANT: Vous devez visiter un site en HTTP (non sécurisé) pour voir le contenu.

Visitez dans votre navigateur:

Étape 5.3: Analyse d'une Requête HTTP​

Sélectionnez une ligne "GET" (requête HTTP)

Dans le panneau détaillé, développez:

  • Hypertext Transfer Protocol
    • Vous verrez la requête complète
    • Les headers (User-Agent, Host, etc.)

Questions: 8. Quel est le User-Agent de votre navigateur? 9. Quelles informations sont visibles en clair dans la requête HTTP? 10. Pourquoi HTTPS est-il plus sécuritaire? (indice: répétez avec https://google.com et regardez la différence)

Partie 6: Analyse d'une Communication Complète​

Étape 6.1: Three-Way Handshake TCP​

Le protocole TCP établit une connexion avant de transmettre des données.

  1. Nouvelle capture avec filtre: tcp
  2. Visitez: http://example.com
  3. Arrêtez la capture

Cherchez les 3 premiers paquets vers le serveur (port 80):

  • Paquet 1: [SYN] - Votre ordinateur demande une connexion
  • Paquet 2: [SYN, ACK] - Le serveur accepte
  • Paquet 3: [ACK] - Votre ordinateur confirme

Questions: 11. Trouvez-vous le three-way handshake dans votre capture? 12. Quels sont les numéros de séquence (Seq) et d'acquittement (Ack)?

Étape 6.2: Follow TCP Stream​

Pour voir toute la conversation:

  1. Clic droit sur un paquet HTTP
  2. Follow → TCP Stream
  3. Une nouvelle fenêtre s'ouvre avec toute la conversation en clair!

Observez:

  • En rouge: Ce que vous avez envoyé
  • En bleu: Ce que le serveur a répondu
  • Tout le contenu HTML est visible!

Partie 7: Exercices Pratiques​

Exercice 7.1: Comparaison HTTP vs HTTPS​

Tâche:

  1. Capturez le trafic vers http://neverssl.com
  2. Capturez le trafic vers https://google.com
  3. Tentez de faire "Follow TCP Stream" sur les deux

Question: 13. Que pouvez-vous voir dans HTTP que vous ne pouvez pas voir dans HTTPS?

Exercice 7.2: Identification de Protocoles​

Visitez différents sites et identifiez les protocoles utilisés:

Sites à tester:

  • https://youtube.com (cherchez les protocoles QUIC ou HTTP/2)
  • Lancez une mise à jour Windows (protocoles Microsoft)
  • Ouvrez Discord ou Teams (WebRTC)

Questions: 14. Quels nouveaux protocoles avez-vous découverts? 15. Combien de connexions TCP sont établies quand vous visitez youtube.com?

Exercice 7.3: Diagnostic de Problème​

Simulez un problème réseau:

  1. Démarrez une capture
  2. Ping une adresse qui n'existe pas: ping 1.2.3.4 -n 2
  3. Analysez la capture

Questions: 16. Voyez-vous des paquets ICMP "Destination unreachable"? 17. Qui envoie ces messages? (regardez la colonne Source)

Partie 8: Statistiques Réseau​

Wireshark offre des outils d'analyse puissants.

Étape 8.1: Hiérarchie des Protocoles​

Menu: Statistiques → Hiérarchie des protocoles

Cela montre la répartition de tous les protocoles capturés.

Questions: 18. Quel protocole représente le plus gros pourcentage de votre trafic? 19. Combien de pourcentage est du trafic chiffré (TLS)?

Étape 8.2: Conversations​

Menu: Statistiques → Conversations

Onglet IPv4 : Montre toutes les conversations entre adresses IP.

Questions: 20. Avec quelle adresse IP avez-vous échangé le plus de données? 21. Combien de conversations différentes avez-vous établies?

Étape 8.3: Endpoints​

Menu: Statistiques → Endpoints

Liste toutes les adresses IP qui ont communiqué.

Livrables​

À remettre:

  1. Fichier de capture Wireshark (.pcapng) contenant:

    • Des paquets ICMP (ping)
    • Des requêtes DNS
    • Du trafic HTTP

  2. Document de réponses (Word/PDF) avec:

    • Réponses aux 21 questions
    • 3 captures d'écran:
      • Capture avec filtre ICMP
      • Capture de requête DNS avec détails
      • "Follow TCP Stream" d'une requête HTTP

  3. Analyse comparative HTTP vs HTTPS (1 page):

    • Ce que vous pouvez voir dans HTTP
    • Ce qui est caché dans HTTPS
    • Pourquoi c'est important pour la sécurité

Critères d'Évaluation​

CritèrePoints
Fichier de capture contenant tous les types de trafic demandés25%
Réponses aux questions (compréhension des protocoles)35%
Captures d'écran pertinentes et annotées20%
Analyse comparative HTTP/HTTPS15%
Qualité de la documentation5%

Filtres Wireshark de Référence​

FiltreDescriptionExemple
icmpTous les paquets pingicmp
dnsToutes les requêtes DNSdns
httpTrafic web non chiffréhttp
tcpTous les paquets TCPtcp
udpTous les paquets UDPudp
ip.addr == XTrafic vers/depuis une IPip.addr == 8.8.8.8
tcp.port == XTrafic sur un port TCPtcp.port == 80
ip.src == XPaquets provenant d'une IPip.src == 192.168.1.1
ip.dst == XPaquets vers une IPip.dst == 8.8.8.8
http.request.method == "GET"Requêtes HTTP GEThttp.request.method == "GET"
dns.qry.name contains "google"Requêtes DNS contenant "google"dns.qry.name contains "google"

Raccourcis Clavier Utiles​

RaccourciAction
Ctrl + EDémarrer/Arrêter capture
Ctrl + KOptions de capture
Ctrl + WFermer capture
Ctrl + FRechercher un paquet
Ctrl + GAller au paquet N
Ctrl + RRecharger le fichier

Dépannage​

Problème: "Couldn't run /usr/bin/dumpcap"​

Solution: Wireshark n'a pas les permissions nécessaires.

  • Relancez Wireshark en tant qu'administrateur (clic droit → Exécuter en tant qu'administrateur)

Problème: Aucune interface n'apparaît​

Solution: Npcap n'est pas installé correctement.

  • Réinstallez Wireshark et assurez-vous d'installer Npcap

Problème: "The capture session could not be initiated"​

Solution:

  • Une autre application utilise peut-être l'interface réseau
  • Fermez les VPN et autres outils réseau
  • Redémarrez votre ordinateur

Problème: Trop de paquets, difficile de voir ce qui m'intéresse​

Solution:

  • Utilisez les filtres!
  • Arrêtez les applications qui génèrent du trafic (mises à jour, cloud sync, etc.)
  • Capturez uniquement pendant que vous générez le trafic voulu

Aller Plus Loin (Optionnel)​

Challenge 1: Identifier une Application​

Ouvrez une application (Discord, Spotify, Steam) et identifiez:

  • Les serveurs avec lesquels elle communique
  • Les protocoles utilisés
  • La quantité de données échangées

Challenge 2: Analyse de Performance​

Mesurez le temps nécessaire pour:

  • Résolution DNS
  • Établissement de connexion TCP
  • Chargement complet d'une page web

Challenge 3: Protocoles Exotiques​

Trouvez et documentez 3 protocoles que vous ne connaissiez pas avant ce lab.

Ressources Additionnelles​

Prochaines Étapes​

Dans le prochain lab, vous apprendrez à:

  • Inventorier votre système Windows en profondeur
  • Identifier les processus et services en cours d'exécution
  • Documenter la configuration de sécurité de votre système

Notes Importantes​

Éthique et Légalité:

Wireshark est un outil puissant qui peut capturer des informations sensibles. Les règles suivantes s'appliquent:

  1. Capturez uniquement:

    • Votre propre trafic
    • Sur des réseaux dont vous êtes propriétaire ou administrateur
    • Sur l'environnement de lab fourni

  2. Ne capturez JAMAIS:

    • Le trafic d'autres personnes sans leur consentement explicite
    • Sur des réseaux publics (café, école, entreprise) sans autorisation écrite
    • Dans le but d'intercepter des mots de passe ou informations confidentielles

  3. Responsabilité professionnelle:

    • Ces compétences sont enseignées pour le dépannage et l'analyse légitime
    • L'utilisation abusive peut entraîner des conséquences légales graves
    • Respectez la vie privée et la propriété intellectuelle d'autrui

En cas de doute, demandez toujours la permission avant de capturer du trafic réseau.