Les sniffers (sniffeurs ou logiciels de capture de trafic réseau)

1. Pourquoi utiliser des outils de capture de trafic ?

Comprendre et diagnostiquer le réseau

Ces outils sont essentiels pour analyser en détail ce qui se passe sur un réseau :

Identifier les goulots d'étranglement (latence, pertes de paquets).
Déterminer si une application est correctement configurée (bons ports, protocoles, etc.).
Trouver l'origine des erreurs de communication (erreurs TCP, problèmes DNS, etc.).

Sécurité et audits

Détecter des activités suspectes ou malveillantes (tentatives d'intrusion, paquets anormaux).
Analyser un incident de sécurité (forensics).

Formation et apprentissage

Étudier le fonctionnement précis des protocoles (TCP/IP, DNS, HTTP, TLS, etc.).
Visualiser les échanges entre clients et serveurs.

En somme, la capture de trafic offre une visibilité complète sur les données qui circulent, nécessaire à la fois pour le diagnostic réseau, l'audit de sécurité et la compréhension profonde du fonctionnement des communications.

2. Panorama des alternatives à Wireshark

Wireshark est l'un des plus complets et des plus connus. Mais d'autres outils peuvent être plus appropriés selon le contexte, le système ou le mode de travail souhaité (en ligne de commande, en interface graphique, etc.).

2.1. tcpdump

Présentation

tcpdump est un utilitaire en ligne de commande, très populaire sous Linux/Unix (mais disponible aussi sous Windows via des ports).
Il capture les paquets qui traversent une interface réseau en temps réel.
On peut appliquer des filtres de capture BPF (Berkeley Packet Filter) pour réduire le volume de données et se concentrer sur des critères spécifiques (ex. : hôte, protocole, port, etc.).

Avantages

Léger et rapide, très utile sur des serveurs sans interface graphique.
Puissant pour des scripts ou de l'automatisation (devops, pipelines CI/CD).
De facto standard dans le monde Unix/Linux.

Limites

Pas d'interface graphique. L'analyse détaillée se fait donc dans un format texte un peu dense.
Peut nécessiter une relecture dans un outil plus convivial (Wireshark, par exemple) via les fichiers .pcap.

2.2. TShark

Présentation

TShark est la version ligne de commande de Wireshark.
On retrouve la même moteur d'analyse (mêmes filtres d'affichage, même décodage de protocoles).
Permet de capturer et d'analyser les paquets en mode texte, un peu comme tcpdump, mais avec la puissance de détection de protocoles de Wireshark.

Avantages

Mêmes capacités de décodage que Wireshark.
Filtres identiques à ceux de Wireshark (ex. : tcp.port == 80 pour n'afficher que le trafic TCP sur le port 80).
Peut exporter en format pcap ou pcapng.

Limites

Interface purement ligne de commande (pas de GUI).
Moins convivial pour des utilisateurs novices.

2.3. Microsoft Network Monitor & Microsoft Message Analyzer

Présentation

Microsoft Network Monitor (ou NetMon) était un outil de capture et d'analyse réseau pour les environnements Windows. Il a été remplacé par Microsoft Message Analyzer, qui lui-même n'est plus supporté (arrêt en 2019).
Toutefois, on peut encore trouver NetMon ou Message Analyzer pour analyser du trafic sur un poste Windows, en particulier lorsque l'on veut déboguer certains aspects spécifiques à Windows (SMB, RPC, etc.).

Avantages

Interface graphique simplifiée pour l'écosystème Windows.
Filtres et parsers adaptés aux protocoles Microsoft (SMB, RPC, etc.).

Limites

Outils officiellement obsolètes et plus supportés.
Fonctionnalités parfois moins étendues que Wireshark pour les protocoles non-Microsoft.

2.4. Fiddler

Présentation

Fiddler est un proxy de débogage web, principalement axé sur l'analyse du trafic HTTP/HTTPS.
Il intercepte les requêtes et réponses web entre votre navigateur (ou application) et le serveur, y compris en HTTPS (en installant un certificat sur la machine pour déchiffrer).
Utile pour les développeurs web, QA, ou testeurs qui souhaitent inspecter, modifier ou rejouer les requêtes HTTP.

Avantages

Très pratique pour voir et manipuler le contenu HTTP/HTTPS (replay, modification d'en-têtes, etc.).
Interface simple, intégration aisée pour le debug d'applications web (JS, REST APIs, etc.).

Limites

Limité au trafic HTTP/HTTPS (c'est son but).
Nécessite l'ajout d'un certificat racine local pour déchiffrer TLS (attention aux implications de sécurité).

2.5. Ngrep

Présentation

Ngrep (Network grep) est un outil en ligne de commande qui permet de faire une capture de paquets, puis d'effectuer des recherches sur leur contenu à la manière de la commande grep.
Vous pouvez filtrer des chaînes spécifiques au sein de la charge utile (payload). Par exemple, rechercher le mot « password » ou un motif Regex dans le contenu des paquets.

Avantages

Très pratique pour localiser rapidement une chaîne dans un flux réseau.
Léger et direct, utilisable en scripts.

Limites

Pas d'analyse de protocole avancée. On est davantage dans la recherche de motifs textuels.
Usage plus restreint qu'un décodeur de protocoles complet.

2.6. CloudShark

Présentation

CloudShark est un service (et un logiciel en cloud/serveur) qui permet d'analyser les captures pcap via une interface web.
Vous uploadez vos fichiers de capture (ou vous configurez votre outil pour envoyer directement les captures vers CloudShark), et vous pouvez naviguer dans l'interface depuis un navigateur.

Avantages

Analyse collaborative possible, sans installer d'application locale.
Interface similaire à Wireshark mais hébergée en ligne.
Pratique pour le partage d'analyses dans une équipe.

Limites

Dépendance au cloud : nécessite un compte CloudShark, ou l'installation d'une instance CloudShark On-Premise payante.
Risques de confidentialité si le trafic capturé contient des informations sensibles.

2.7. NetworkMiner

Présentation

NetworkMiner est un outil d'analyse de trafic réseau, développé par Netresec, qui se concentre sur la reconstruction et l'extraction d'objets et de données (fichiers, images, certificats, etc.) à partir des flux capturés.
Il est souvent utilisé dans des contextes de forensics ou d'investigation, car il permet de reconstituer ce qui a transité réellement (fichiers téléchargés, images envoyées, etc.).

Avantages

Possibilité d'extraction automatique de données (fichiers, images, etc.) depuis le trafic.
Interface conviviale, focalisée sur la partie forensic.

Limites

Outil spécialisé. Pour l'analyse plus classique des protocoles, on préférera Wireshark.
La version gratuite a moins de fonctionnalités que la version payante.

2.8. Capsa Network Analyzer

Présentation

Capsa (de Colasoft) est un autre analyseur réseau propriétaire pour Windows, proposant une interface graphique et diverses fonctionnalités de diagnostic, de monitoring et de reporting.
Il est payant, avec une version d'essai gratuite.

Avantages

Interface avancée, tableaux de bord et rapports sur le trafic, protocole, conversations.
Analyse en temps réel et enregistrement de métriques (certaines versions font du monitoring continu).

Limites

Payant pour la version complète.
Réservé à Windows.

2.9. Autres mentions

Kismet (pour le Wi-Fi) : outil spécialisé dans la capture et l'analyse de trafic sans fil (802.11).
Suricata/Snort : plutôt des IDS/IPS (systèmes de détection d'intrusion) ; ils permettent aussi de capturer du trafic et de détecter des signatures d'attaques, mais ce n'est pas un équivalent direct de Wireshark.
Brim : une interface open source pour analyser des fichiers pcap, intégration avec le moteur Zeek (anciennement Bro) pour l'analyse de logs et de protocoles.

3. Critères de choix

Interface graphique ou ligne de commande :
- Sur un serveur ou en script : tcpdump, TShark, Ngrep.
- Sur un poste client ou pour un usage plus visuel : Wireshark, Capsa, NetworkMiner, etc.
Portabilité / Système d'exploitation :
- Windows : Wireshark, Fiddler, Capsa, Microsoft Network Monitor (ancien).
- Linux/Unix : tcpdump, TShark, Wireshark.
- macOS : Wireshark, TShark, tcpdump.
Type de protocole ciblé :
- HTTP(s) focus : Fiddler.
- Wi-Fi focus : Kismet.
- Généraliste tous protocoles : Wireshark, TShark, tcpdump.
Budget :
- Open Source / Gratuit : Wireshark, tcpdump, TShark, Ngrep, Kismet...
- Propriétaire / Payant : Capsa (Colasoft), certaines fonctionnalités avancées de CloudShark, etc.
Fonctions spéciales :
- Extraction de fichiers (NetworkMiner).
- Collaboration en ligne (CloudShark).
- Reconstruction de flux (Wireshark, Fiddler, TShark).

4. Cas d'utilisation courants

Diagnostic réseau :
- Utiliser tcpdump pour voir en temps réel si les paquets arrivent sur un port (par ex. 80 ou 443).
- Analyser hors-ligne les captures dans Wireshark pour voir les éventuels resets TCP, retransmissions, etc.
Développement web :
- Fiddler pour intercepter et modifier les requêtes HTTP/HTTPS, pour tester rapidement le comportement d'une API.
- Wireshark ou TShark si besoin d'analyser des échanges DNS, TLS, etc. en profondeur.
Sécurité / Forensics :
- NetworkMiner ou Wireshark pour extraire des objets, retracer une infection, analyser un trafic suspect.
- Suricata/Snort en complément pour détecter les signatures d'attaque.
Surveillance continue :
- Capsa pour un monitoring en continu et des tableaux de bord.
- CloudShark pour partager l'analyse en ligne avec une équipe.

5. Bonnes pratiques

Respecter la loi et la politique de l'entreprise :
- Ne jamais capturer le trafic d'autrui sans autorisation.
- Utiliser ces outils uniquement dans un cadre légal (réseau d'entreprise, réseau domestique, tests autorisés).
Limiter le périmètre de capture :
- Utiliser des filtres de capture (ex. : host 192.168.1.10 ou port 80) pour éviter de stocker des gigaoctets de données.
Analyser hors-ligne :
- Souvent, on capture sur un serveur distant (avec tcpdump), puis on transfère le fichier .pcap pour l'analyser localement dans Wireshark ou CloudShark.
Protéger les données sensibles :
- Les paquets peuvent contenir des mots de passe, cookies, tokens, etc.
- Chiffrer, anonymiser ou détruire les captures après usage.
Mettre à jour les outils :
- Les protocoles évoluent, et des failles de sécurité peuvent exister dans les versions anciennes.

Conclusion

Les logiciels d'analyse de trafic constituent une famille d'outils indispensables pour :

Comprendre et surveiller le fonctionnement d'un réseau.
Diagnostiquer des problèmes de connectivité ou de performance.
Renforcer la sécurité en détectant ou investiguant des activités suspectes.

Chaque solution a sa spécialité :

tcpdump/TShark pour la ligne de commande et l'automatisation.
Fiddler pour le trafic web (HTTP/HTTPS).
NetworkMiner pour l'extraction d'objets à des fins forensic.
CloudShark pour la collaboration en ligne.
Capsa (ou d'autres outils payants) pour des rapports et du monitoring en continu.

Le choix se fait en fonction de vos besoins, de votre environnement (système d'exploitation, budget, etc.) et du type de trafic à analyser.

⬆️ Retour en haut de la page