Wireshark Forensics

Définition

Wireshark, dans son usage forensique, est l'analyseur de protocoles réseau open source de référence, permettant de décoder et d'examiner en profondeur des captures de trafic réseau au format PCAP ou PCAPNG collectées lors d'un incident ou d'une investigation, en interprétant précisément les centaines de protocoles réseau qu'il reconnaît nativement, du niveau liaison jusqu'aux protocoles applicatifs. L'analyste peut reconstruire une session TCP complète grâce à la fonctionnalité Follow TCP Stream, qui réassemble automatiquement l'ensemble des paquets échangés dans une conversation pour en présenter le contenu applicatif lisible, une commande HTTP transmise en clair, un échange de fichiers via FTP, ou le contenu partiellement déchiffrable d'un échange TLS si les clés de session ont été capturées. La fonction d'extraction d'objets (File Export Objects) permet de récupérer directement depuis la capture les fichiers transférés via HTTP, SMB ou d'autres protocoles, une capacité précieuse pour retrouver un malware téléchargé ou des données exfiltrées. Wireshark permet également de filtrer un volume important de trafic capturé à l'aide de son langage de filtre d'affichage puissant, isolant rapidement les paquets pertinents pour l'enquête parmi des millions d'enregistrements. Bien qu'adapté à l'analyse fine et ponctuelle plutôt qu'à la recherche à grande échelle sur des volumes massifs, où des outils comme Arkime prennent le relais, Wireshark reste un outil incontournable de toute investigation réseau.