Network Forensics (Forensique réseau)

forensics

Définition

La forensique réseau (network forensics) est la branche de l'investigation numérique dédiée à la capture, l'enregistrement et l'analyse du trafic réseau dans le but de reconstituer des activités malveillantes, détecter des exfiltrations de données, ou identifier les communications d'un malware. Les deux approches principales sont la capture complète (full packet capture) avec des sondes comme ntopng, Security Onion ou Arkime (anciennement Moloch), et l'analyse de métadonnées de flux (NetFlow/IPFIX) moins consommatrice en espace mais sans contenu. Wireshark et tshark sont les outils d'analyse de captures PCAP les plus répandus. L'analyse forensique réseau cherche à identifier des connexions C2 (beacon timing, domaines DGA), des exfiltrations (volumes anormaux vers des IPs externes), du mouvement latéral (scans, connexions SMB/RDP internes), et des IoCs réseau (hash JA3/JA3S pour les empreintes TLS, HASSH pour SSH). NetworkMiner facilite l'extraction de fichiers et credentials depuis des captures. La corrélation avec les logs firewall, proxy et DNS est essentielle pour une reconstruction complète de l'incident.

Description

La forensique réseau capture, enregistre et analyse le trafic réseau pour reconstituer les activités malveillantes, détecter les exfiltrations et identifier les communications C2. Les approches incluent la capture full-packet (Arkime, Security Onion) et l'analyse de métadonnées de flux (NetFlow/IPFIX, Zeek logs).

Usage forensique

Analyse PCAP avec Wireshark/tshark et NetworkMiner. Zeek génère des logs structurés (conn.log, dns.log, ssl.log) ingérés dans le SIEM. JA3/JA3S fingerprint les clients/serveurs TLS pour identifier les frameworks offensifs même avec chiffrement.

Points clés

JA3 hash : empreinte TLS Client Hello identifiant les outils d'attaque (Metasploit, Cobalt Strike) malgré le chiffrement
Beacon timing analysis : connexions C2 régulières détectables par leur périodicité statistique (jitter analysis)
Corrélation DNS+Proxy+Firewall : reconstruction complète du chemin d'exfiltration multi-protocole

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis