Atelier Wireshark : analyser le trafic réseau en 3 heures (plan de séance complet)

Wireshark est l'analyseur de protocoles réseau de référence. Open source, multiplateforme, utilisé aussi bien par les équipes SOC que par les ingénieurs réseau et les testeurs d'intrusion, il constitue un passage obligé dans tout cursus de cybersécurité sérieux. Pourtant, beaucoup d'ateliers Wireshark manquent leur cible : trop axés sur l'interface au détriment des scénarios réels, ou trop ambitieux pour le temps imparti.

Ce plan de séance propose un format de 3 heures en 3 blocs de 60 minutes, progressif, testable et adaptable du niveau L2 au M1. Il est conçu pour être animé en salle équipée de postes virtualisés, mais s'adapte au distanciel avec des captures pcap préparées.

Pourquoi Wireshark est incontournable en cours de cybersécurité

L'analyse de trafic réseau n'est pas une compétence parmi d'autres. C'est la couche de visibilité fondamentale qui permet de comprendre ce qui se passe réellement sur un réseau, derrière les abstractions des applications et des outils de sécurité.

Un analyste SOC utilise des captures réseau pour investiguer des alertes. Un pentesteur analyse le trafic pour identifier des protocoles exposés ou des secrets en transit. Un ingénieur en sécurité réseau s'appuie sur des captures pour diagnostiquer des anomalies de configuration. Dans les trois cas, Wireshark — ou ses alternatives CLI comme tcpdump — est l'outil de référence.

Enseigner Wireshark, c'est donner aux étudiants la capacité de lire le réseau directement, sans passer par un intermédiaire. C'est une compétence que la plupart des professionnels décrivent comme un tournant dans leur compréhension de la cybersécurité.

L'atelier en 3 heures décrit ici n'est pas un tour exhaustif de l'interface. C'est une montée en compétence délibérément scénarisée : chaque heure produit un livrable, chaque scénario correspond à une situation que l'étudiant rencontrera en stage ou en emploi.

Prérequis et préparation de l'environnement lab

Prérequis étudiants

Avant l'atelier, chaque étudiant doit maîtriser :

• Les modèles OSI et TCP/IP (couches 2, 3, 4)
• Le fonctionnement de ARP, DNS, HTTP et TCP (three-way handshake)
• La lecture basique d'une adresse IP et d'une adresse MAC
• L'usage élémentaire d'un terminal Linux ou Windows

Un quiz de vérification des prérequis envoyé une semaine avant l'atelier permet d'identifier les lacunes et d'adapter l'introduction. Sans ce filtrage, le formateur passe la première demi-heure à combler des trous conceptuels plutôt qu'à faire analyser du trafic.

Préparation de l'environnement

L'environnement recommandé pour chaque poste :

• Wireshark 4.x installé (version stable, pas de nightly build)
• Un réseau virtuel isolé entre les VMs (host-only ou internal network VirtualBox/VMware)
• Trois fichiers pcap préparés par le formateur et distribués en début de séance :
  • lab1_basics.pcap — trafic HTTP/DNS/ARP simple, 500 paquets environ
  • lab2_arp_poisoning.pcap — scénario ARP poisoning simulé
  • lab3_tls_mixed.pcap — mélange de trafic chiffré TLS et en clair

La préparation de ces captures est la clé de l'atelier. Des captures maison sur un réseau fictif permettent de contrôler le scénario et de garantir la conformité RGPD. Référez-vous au guide sur la façon de configurer un environnement de TP sécurisé pour les détails de mise en place réseau.

Conseil formateur : préparez également une capture "poison" contenant une attaque de type man-in-the-middle pour le bloc 2. C'est l'un des scénarios qui marque le plus les étudiants.

Déroulé heure par heure (3 blocs de 60 minutes)

Bloc 1 (0–60 min) : Navigation, capture live et protocoles fondamentaux

Objectif : Chaque étudiant sait capturer du trafic, naviguer dans l'interface et identifier les protocoles basiques.

0–10 min — Introduction rapide

Le formateur présente les trois vues principales de Wireshark : la liste des paquets, le détail du paquet et la vue hexadécimale. Il montre comment lancer une capture live sur l'interface réseau de la VM.

Pas de slide. L'introduction se fait directement sur l'interface, en démonstration live projetée.

10–35 min — Exploration guidée de lab1_basics.pcap

Les étudiants ouvrent lab1_basics.pcap et répondent à une série de questions guidées :

1. Combien de requêtes DNS sont présentes ? Quels domaines sont résolus ?
2. Quelle est l'adresse MAC de la passerelle par défaut (observez les requêtes ARP) ?
3. Retrouvez la requête HTTP GET et son contenu. Le trafic est-il chiffré ?
4. Reconstituez le three-way handshake TCP d'une connexion : identifiez SYN, SYN-ACK, ACK.

Ces questions amènent les étudiants à naviguer activement dans les paquets plutôt que de regarder l'interface passivement. Le formateur circule et répond aux questions individuelles.

35–55 min — Capture live guidée

Sur le réseau virtuel isolé, les étudiants lancent une capture live pendant que le formateur génère du trafic depuis la VM maître : ping, requête DNS, connexion HTTP vers un serveur local simulé. Les étudiants observent les paquets apparaître en temps réel.

55–60 min — Synthèse du bloc 1

Le formateur demande à deux ou trois étudiants de partager une observation. Correction collective des questions guidées.

Livrable bloc 1 : Liste annotée de 5 paquets identifiés avec protocole, source, destination et contenu résumé.

Bloc 2 (60–120 min) : Filtres avancés, ARP poisoning et analyse TCP

Objectif : Maîtriser les filtres d'affichage essentiels, identifier une attaque ARP poisoning, analyser un TCP retransmit.

60–75 min — Filtres d'affichage

Le formateur introduit la syntaxe des filtres Wireshark avec des exemples progressifs appliqués à lab1_basics.pcap. Chaque étudiant tape les filtres et observe le résultat en temps réel.

75–110 min — Analyse du scénario ARP poisoning (lab2_arp_poisoning.pcap)

L'ARP poisoning (ou ARP spoofing) est une attaque de type man-in-the-middle qui consiste à envoyer des réponses ARP falsifiées pour associer l'adresse MAC de l'attaquant à une adresse IP légitime. L'objectif pédagogique est d'apprendre à détecter cette anomalie dans le trafic réseau.

Questions guidées sur lab2_arp_poisoning.pcap :

1. Filtrez les paquets ARP (arp). Observez-vous des adresses MAC identiques pour des IP différentes ?
2. Quelle adresse IP est usurpée ? Quelle est l'adresse MAC de l'attaquant ?
3. Comment le trafic entre la victime et la passerelle passe-t-il par l'attaquant ?
4. Utilisez Follow TCP Stream sur une connexion HTTP pour voir si des données en clair ont été capturées.

Cette séquence illustre concrètement pourquoi le cours d'analyse SOC insiste sur la surveillance du trafic ARP dans les environnements sensibles.

110–120 min — Synthèse bloc 2

Correction collective. Le formateur montre comment l'outil arp.duplicate-address-detected de Wireshark alerte automatiquement sur les conflits ARP.

Livrable bloc 2 : Rapport de 10 lignes décrivant l'attaque ARP détectée, les adresses impliquées et les indicateurs observés dans Wireshark.

Bloc 3 (120–180 min) : Trafic TLS, reconstruction de flux et rapport

Objectif : Comprendre les limites de l'analyse réseau face au chiffrement, reconstruire des flux applicatifs, rédiger un rapport d'analyse.

120–145 min — Analyse TLS avec lab3_tls_mixed.pcap

Les étudiants ouvrent lab3_tls_mixed.pcap qui contient un mélange de trafic HTTP en clair et HTTPS chiffré. L'objectif n'est pas de déchiffrer TLS (hors périmètre pédagogique sans clés), mais d'observer :

• Les phases du handshake TLS (ClientHello, ServerHello, Certificate, ChangeCipherSpec)
• Quelles informations restent visibles malgré le chiffrement : adresse IP, port, SNI (Server Name Indication)
• La différence entre analyser du HTTP en clair et du HTTPS chiffré
• Comment le filtre tls isole les flux HTTPS

Le formateur introduit brièvement la notion de SSLKEYLOGFILE pour les environnements contrôlés où le déchiffrement est intentionnel (tests de lab uniquement).

145–165 min — Reconstruction de flux et cas pratique

Les étudiants utilisent Follow TCP Stream sur une connexion HTTP en clair pour reconstruire l'échange complet (requête + réponse). Ils identifient :

• Les headers HTTP (User-Agent, Host, Content-Type)
• Le corps de la réponse
• Des éléments d'identification (cookies, tokens)

Puis ils utilisent Follow TLS Stream sur un flux HTTPS pour constater que le contenu est illisible sans les clés de session. Cette comparaison illustre l'importance du chiffrement dans la protection des données en transit.

165–180 min — Rédaction du rapport et clôture

Chaque étudiant rédige un mini-rapport d'analyse (voir section Évaluation). Le formateur fait une synthèse des 3 heures : ce que Wireshark permet de faire, ses limites face au trafic chiffré, et son positionnement dans une chaîne d'outils de détection.

Les filtres Wireshark essentiels à enseigner

Le tableau suivant liste les filtres à maîtriser en priorité. L'ordre correspond à la progression naturelle de l'atelier.

Présentez ces filtres progressivement, jamais en liste d'un coup. Chaque filtre doit être expérimenté immédiatement sur les captures du lab.

Scénarios de capture pédagogiques

Au-delà de l'atelier en 3 heures, voici trois scénarios complémentaires à intégrer dans des séances ultérieures ou en devoir maison :

Scénario 1 — Détection d'un scan Nmap

Préparez une capture d'un scan Nmap -sS (SYN scan) contre un hôte de lab. Les étudiants utilisent le filtre tcp.flags.syn == 1 && tcp.flags.ack == 0 et observent :

• La cadence anormalement rapide des SYN vers des ports successifs
• L'absence de three-way handshake complet (SYN sans ACK retour)
• Le pattern caractéristique des numéros de port scannés

Ce scénario est directement lié au travail d'un analyste SOC qui doit distinguer un scan de reconnaissance d'un trafic légitime.

Scénario 2 — Exfiltration DNS simulée

Préparez une capture où un outil comme iodine ou dnscat2 encode des données dans des sous-domaines DNS de longueur anormale. Les étudiants filtrent les requêtes DNS et observent :

• Des noms de domaine avec des sous-domaines encodés en base64
• Une fréquence de requêtes DNS inhabituelle vers un domaine unique
• Des longueurs de requêtes supérieures à la normale

Ce scénario illustre une technique d'exfiltration de données via un protocole généralement non filtré par les firewalls.

Scénario 3 — Analyse d'une connexion à un C2 HTTP

Préparez une capture d'un agent simulé (outil de red team en environnement de lab fermé) communiquant avec un serveur C2 fictif via HTTP. Les étudiants utilisent Follow TCP Stream et Statistics > HTTP > Requests pour identifier :

• Des requêtes GET/POST régulières vers un domaine inconnu
• Un User-Agent non standard
• Des patterns de timing réguliers (beacon interval)

Ces trois scénarios complémentaires constituent la base d'un module analyse SOC appliquée à la détection réseau.

Évaluation et livrables

Livrables pendant la séance

Chaque bloc produit un livrable immédiat :

• Bloc 1 : Liste annotée de 5 paquets (protocole, source, destination, contenu résumé)
• Bloc 2 : Rapport de 10 lignes sur l'attaque ARP détectée
• Bloc 3 : Rapport d'analyse complet (voir ci-dessous)

Rapport d'analyse final (livrable bloc 3)

Le rapport de fin de séance suit cette structure minimale :

1. Contexte : description de la capture analysée (taille, durée, interfaces)
2. Inventaire réseau : liste des hôtes identifiés (IP + MAC) et des protocoles observés
3. Anomalie identifiée : description de l'événement suspect (ARP poisoning, scan, exfiltration)
4. Indicateurs : filtres utilisés, paquets clés avec numéros de frame
5. Conclusion : impact potentiel et recommandation de remédiation

Ce format de rapport est délibérément proche du livrable professionnel attendu dans un SOC ou lors d'une investigation forensique. Il prépare les étudiants au format attendu dans le cadre du cours de sécurité réseau avancé.

Critères d'évaluation

Devoir maison optionnel

Fournissez une quatrième capture pcap contenant un scénario non vu en cours (par exemple, un credential stuffing HTTP sur une application non chiffrée). Les étudiants rédigent un rapport autonome en appliquant la méthode acquise. Ce devoir permet d'évaluer la transferabilité des compétences, pas seulement la mémorisation.

Ce qu'il faut retenir

L'atelier Wireshark en 3 blocs progressifs offre une montée en compétence structurée, du protocole fondamental à l'analyse de scénario d'attaque. Les points clés à retenir pour organiser votre séance :

• Préparez vos captures pcap à l'avance : des scénarios maîtrisés valent mieux qu'une capture live imprévisible.
• Chaque bloc produit un livrable : cela maintient l'engagement et permet une évaluation formative en temps réel.
• Les filtres s'apprennent en les utilisant : introduisez-les sur des cas concrets, pas en liste.
• Les scénarios d'attaque (ARP poisoning, scan Nmap) sont les moments où les étudiants comprennent pourquoi ils apprennent cet outil.
• L'isolement réseau est impératif : capturez uniquement sur des réseaux de lab, jamais sur l'infrastructure réelle de l'établissement.
• Le rapport final est formatif autant qu'évaluatif : il prépare aux livrables professionnels attendus en stage.

Vous cherchez un intervenant capable d'animer un atelier Wireshark ou des TP d'analyse réseau pour vos étudiants ?

Cyber Teachers met en relation les écoles, universités et bootcamps avec des experts en sécurité réseau et analyse de trafic, disponibles en présentiel comme en distanciel.