Wireshark, un indispensable outil de dépannage réseau

Wireshark est un outil d'analyse du trafic réseau que tout professionnel de la sécurité ou administrateur système devrait avoir dans sa panoplie. Ce logiciel gratuit permet d'analyser le trafic réseau en temps réel, et c’est souvent le meilleur outil pour résoudre les problèmes de réseau. Wireshark sert à dépanner des problèmes courants comme la perte des paquets, les problèmes de latence et de parer à une activité malveillante sur le réseau. Avec Wireshark, c’est un peu comme si l’on regardait le trafic réseau sous un microscope. De plus, il fournit des outils pour filtrer et regarder le trafic en profondeur, et de zoomer sur la cause profonde du problème. Les administrateurs l'utilisent pour identifier les appliances réseau défectueuses qui perdent des paquets, les problèmes de latence générés par les machines qui acheminent le trafic à l'autre bout du monde, et les tentatives d'exfiltration de données ou même de piratage.

Wireshark est un outil puissant, il nécessite donc une bonne connaissance des bases du réseau. Pour la plupart des entreprises actuelles, cela revient par exemple à bien comprendre la pile TCP/IP, à savoir lire et interpréter les en-têtes de paquets, ou encore à surveiller le bon fonctionnement du routage, du transfert de port et du DHCP.

Que fait Wireshark ?

Wireshark intercepte le trafic et convertit ce trafic binaire en format lisible par l'homme. Cela facilite l'identification du trafic qui transite par le réseau, à connaître son volume, sa fréquence, la latence entre certains sauts, et ainsi de suite. Même si Wireshark supporte plus de deux mille protocoles réseau, dont un grand nombre de protocoles ésotériques, rares ou anciens, les professionnels de la sécurité trouveront l'analyse des paquets IP d'une utilité immédiate. La majorité des paquets circulant sur un réseau utilisent probablement les protocoles TCP, UDP et ICMP.

Compte tenu du volume important du trafic qui traverse un réseau d'entreprise typique, la capacité des outils de Wireshark à filtrer ce trafic les rend particulièrement utiles. Les filtres de capture ne collecteront que les types de trafic qui intéressent l’administrateur. Les filtres d'affichage lui permettront ensuite de zoomer sur le trafic qu’il souhaite inspecter. Pour faciliter la recherche, l'analyseur de protocole réseau fournit des outils de recherche, y compris des expressions régulières et des surlignages colorés. Parfois, la meilleure façon de détecter un trafic anormal est de capturer tout le trafic et d'établir une base de référence.

Comment utiliser Wireshark

Pour détecter des comportements anormaux, il faut déjà savoir ce qui est normal. Pour cela, Wireshark inclut des outils pour créer des statistiques de base. Même si Wireshark est un analyseur de protocole réseau et non un système de détection d'intrusion (IDS), il peut néanmoins s'avérer extrêmement utile pour cibler le trafic malveillant quand une alerte se déclenche. Wireshark peut également servir à intercepter et à analyser le trafic TLS crypté. Les clés de session symétriques sont stockées dans le navigateur, et avec les paramètres appropriés du navigateur (et l'autorisation de l'utilisateur) un administrateur peut charger ces clés de session dans Wireshark et examiner le trafic Web non crypté.

Wireshark est livré avec des outils graphiques pour visualiser les statistiques. Il est ainsi plus facile de déceler les tendances générales et de présenter les résultats à des équipes moins familières avec la technique.

Wireshark comme outil d'apprentissage

Parmi les très nombreux usages pratiques possibles de Wireshark, il serait dommage de passer à côté de ses qualités d'apprentissage. La possibilité de voir tout ce qui transite sur un réseau, de voir comment circulent les paquets - même en descendant jusqu'au niveau des octets et en examinant les en-têtes TCP - permet d'apprendre et d'enseigner aux autres comment fonctionne l'Internet. Cette démystification du moteur qui fait tourner toute l’économie de l'information ne peut déboucher que sur de meilleures décisions d'affaires, une meilleure politique de gouvernance, sans parler d'une meilleure qualification de la main-d'œuvre. Wireshark est déjà intégré dans les programmes scolaires de nombreuses formations, mais la documentation étant suffisamment complète, n’importe quelle personne curieuse pourra renifler ce qui se passe au niveau de son point d'accès WiFi local et examiner le trafic après avoir téléchargé l'analyseur de protocole réseau.

Histoire de Wireshark

Wireshark a été inventé en 1998 par Gerald Combs. À l’époque, l’outil se dénommait Ethereal. Depuis, il a bénéficié d’un support communautaire hors du commun et de très nombreux correctifs. L’outil est largement considéré de facto comme l'analyseur de protocole réseau. Wireshark fonctionne sur tous les systèmes d'exploitation majeurs et mineurs, y compris les distributions Linux courantes, Windows, OS X, FreeBSD, NetBSD, et OpenBSD. C’est un logiciel libre sous licence GPL, et chacun peut donc l’utiliser gratuitement, le partager et le modifier.

Des tutoriels Wireshark

Il existe de nombreuses ressources gratuites pour apprendre à utiliser Wireshark, plus des conseils et astuces pour tirer le meilleur parti du logiciel.

Voici quelques liens de sources sélectionnées (en anglais) :

• I've Just Downloaded Wireshark… Now What? (Je viens de télécharger Wireshark... Et maintenant ?) (PDF)

• Wireshark User's Guide (Guide de l'utilisateur de Wireshark)

• How to Use Wireshark: A Complete Tutorial (Comment utiliser Wireshark : Un tutoriel complet) (Lifewire)

• How to Use Wireshark to Capture, Filter and Inspect Packets (Comment utiliser Wireshark pour capturer, filtrer et inspecter des paquets) (How-To Geek)

L’analyseur de protocole réseau est téléchargeable gratuitement sur wireshark.org.