PCTAMALOU

🔬 Mission pratique – Laboratoire (2 heures)

Étape 1 : Installation et configuration sécurisée

# Installation complète avec support avancé
sudo apt update
sudo apt install wireshark tshark wireshark-qt -y

# Configuration sécurisée : permettre capture sans root
sudo dpkg-reconfigure wireshark-common
# Choisir "Yes" pour allow non-superusers to capture packets

# Ajouter votre utilisateur au groupe wireshark
sudo usermod -a -G wireshark $USER

# Redémarrez la session ou exécutez :
newgrp wireshark

# Vérification
tshark --version
wireshark --versionCopier

Étape 2 : Capture de base et identification des interfaces

# Identifier l'interface Host-Only
ip a | grep "inet "
# Notez l'interface correspondant à 192.168.56.x (ex: enp0s8)

# Alternative : liste détaillée
tshark -D
# Affiche toutes les interfaces disponibles

# Capture en ligne de commande (pour analyse ultérieure)
tshark -i enp0s8 -w capture_basique.pcap -c 100
# -i : interface, -w : fichier sortie, -c : nombre de paquets

# Lancement interface graphique
wireshark &
# Ou en ligne de commande : wireshark -i enp0s8Copier

Étape 3 : Scénarios de capture structurés

# Dans Wireshark : Démarrer capture sur l'interface Host-Only
# Filtre de capture : host 192.168.56.102 (Metasploitable2)

# Dans un terminal séparé, lancer un scan Nmap
nmap -sS -p1-100 192.168.56.102

# Dans Wireshark, analyser :
# 1. Filtre : tcp.flags.syn == 1 and tcp.flags.ack == 0
# 2. Statistics → Conversations → TCP
# 3. Suivre un flux TCP complet (clic droit → Follow → TCP Stream)

# Capture en cours...
# Générer du trafic HTTP vers Metasploitable2
curl http://192.168.56.102
curl http://192.168.56.102/mutillidae

# Dans Wireshark :
# 1. Filtre : http
# 2. Clic droit sur une requête → Follow → HTTP Stream
# 3. File → Export Objects → HTTP
# 4. Statistics → Protocol Hierarchy

# Capture en cours...
# Générer des tentatives SSH (simuler un bruteforce)
for i in {1..5}; do
    ssh msfadmin@192.168.56.102 -o ConnectTimeout=2
    sleep 1
done

# Dans Wireshark :
# 1. Filtre : tcp.port == 22
# 2. Observer le handshake SSH (version exchange, key exchange)
# 3. Notez que le contenu est chiffré après le handshake

Étape 4 : Techniques avancées d'analyse

# 1. Reconstruction de fichiers transférés
# Après capture HTTP avec téléchargement :
# File → Export Objects → HTTP → Sélectionner et sauvegarder

# 2. Analyse des temps de réponse
# Statistics → TCP Stream Graphs → Round Trip Time
# Détecter des latences anormales

# 3. Détection d'anomalies
# Statistics → Conversations → Compare avec baseline normale
# Chercher des IPs qui parlent trop, des ports inhabituels

# 4. Création de colonnes personnalisées
# Edit → Preferences → Columns → Add
# Exemple : tcp.time_delta (temps entre paquets)Copier

Étape 5 : Filtres avancés et recherche

# Dans la barre de filtre Wireshark :

# Chercher des credentials en clair
http.request.method == "POST" and urlencoded-form

# Détecter des scans de ports
tcp.flags.syn == 1 and tcp.flags.ack == 0 and tcp.window_size <= 1024

# Identifier du trafic DNS suspect
dns.qry.name matches ".*\.ddns\.net$"

# Chercher du trafic vers des ports connus de malware
tcp.dstport in {4444 31337 6667}

# Analyser le trafic ARP pour détecter du poisoning
arp.opcode == 2 and arp.src.hw_mac != arp.dst.hw_macCopier

Étape 6 : Scripting et automatisation avec tshark

# Analyse en ligne de commande pour rapports automatisés

# Extraire toutes les adresses IP uniques
tshark -r capture.pcap -T fields -e ip.src | sort | uniq

# Compter les paquets par protocole
tshark -r capture.pcap -z io,phs

# Extraire les requêtes DNS
tshark -r capture.pcap -Y "dns" -T fields -e dns.qry.name

# Générer un rapport des conversations TCP
tshark -r capture.pcap -z conv,tcp

# Script complet d'analyse
cat > analyze_pcap.sh << 'EOF'
#!/bin/bash
PCAP=$1
echo "=== Analyse de $PCAP ==="
echo "1. Top IP sources:"
tshark -r $PCAP -T fields -e ip.src | sort | uniq -c | sort -nr | head -10
echo ""
echo "2. Top destinations ports:"
tshark -r $PCAP -T fields -e tcp.dstport | sort | uniq -c | sort -nr | head -10
echo ""
echo "3. Protocols hierarchy:"
tshark -r $PCAP -q -z io,phs
EOF
chmod +x analyze_pcap.sh
./analyze_pcap.sh capture.pcapCopier

Étape 7 : Documentation professionnelle

# Création d'un rapport d'analyse complet
TIMESTAMP=$(date +%Y%m%d-%H%M%S)
REPORT="wireshark_analysis_${TIMESTAMP}.md"

cat > $REPORT << 'EOF'
# Rapport d'analyse Wireshark - PCTAMALOU S13
## Date: $(date)
## Capture: capture_lab.pcapng

## 1. Résumé exécutif
- Durée capture: [X] minutes
- Paquets totaux: [Y]
- Traffic total: [Z] Mo

## 2. Analyse par protocole
```bash
tshark -r capture.pcap -q -z io,phs

## 3. Conversations principales
- Top 10 conversations TCP
- Top 10 conversations UDP

## 4. Anomalies détectées
- [ ] Traffic vers ports inhabituels
- [ ] Paquets malformés
- [ ] Scan de ports détecté
- [ ] Credentials en clair

## 5. Reconstruction de flux
- Flux HTTP analysés: [Liste]
- Fichiers extraits: [Liste]

## 6. Recommendations
1. [Recommandation sécurité 1]
2. [Recommandation sécurité 2]

# Export des données pour visualisation
tshark -r capture.pcap -T ek > capture_$TIMESTAMP.json
# Format JSON pour ElasticSearch/KibanaCopier