Wireshark est l’analyseur de protocoles réseau le plus utilisé au monde. Gratuit et open source, il permet de capturer et d’examiner en temps réel l’ensemble du trafic réseau d’une interface. Pour les étudiants en BTS SIO, c’est un outil indispensable : il permet de comprendre concrètement comment fonctionnent les protocoles TCP/IP, de diagnostiquer des problèmes réseau et de détecter des anomalies de sécurité.

Ce tutoriel vous guide de l’installation à l’analyse de captures réelles, en passant par les filtres essentiels et des cas pratiques adaptés au programme du BTS SIO. Aucune connaissance préalable en analyse réseau n’est requise ; seules des bases en réseaux informatiques sont recommandées.

Présentation de Wireshark et cas d’utilisation

Wireshark (anciennement Ethereal) a été créé en 1998 par Gerald Combs. Aujourd’hui maintenu par la Wireshark Foundation, il est téléchargé plus de 2 millions de fois par trimestre. C’est l’outil de référence pour les administrateurs réseau, les experts en cybersécurité et les développeurs qui ont besoin d’observer le trafic réseau.

Pourquoi utiliser Wireshark ?

Wireshark dans le BTS SIO

L’analyse de trames réseau fait partie intégrante du référentiel BTS SIO, en particulier pour l’option SISR. Wireshark permet de valider concrètement les connaissances théoriques sur les modèles OSI et TCP/IP. Lors des épreuves pratiques, il n’est pas rare qu’on vous demande d’analyser une capture pour identifier un problème ou répondre à des questions sur les protocoles.

Installation de Wireshark sur Windows, macOS et Linux

L’installation est simple et rapide sur les trois systèmes d’exploitation principaux. Comptez environ 5 minutes.

Installation sur Windows

1. Téléchargez l’installateur depuis wireshark.org/download.html
2. Lancez l’exécutable et suivez l’assistant d’installation
3. Acceptez l’installation de Npcap (pilote de capture réseau) lorsque proposé. Cochez « Install Npcap in WinPcap API-compatible mode » pour la compatibilité
4. Terminez l’installation et lancez Wireshark

Installation sur Ubuntu/Debian

# Installation via apt
sudo apt update
sudo apt install -y wireshark

# Autoriser la capture sans être root
sudo dpkg-reconfigure wireshark-common
# Répondre "Oui" à la question sur le groupe wireshark

# Ajouter votre utilisateur au groupe wireshark
sudo usermod -aG wireshark $USER

# Déconnectez-vous et reconnectez-vous pour appliquer

Installation sur macOS

# Via Homebrew
brew install --cask wireshark

Ou téléchargez le fichier .dmg depuis le site officiel et glissez l’application dans le dossier Applications.

Vérification de l’installation

Au lancement, Wireshark affiche la liste des interfaces réseau disponibles avec un graphique en temps réel de l’activité sur chacune. Si vous voyez des interfaces mais pas de graphique, vérifiez que vous avez les droits de capture (groupe wireshark sous Linux, exécution en tant qu’administrateur sous Windows).

Première capture : comprendre l’interface

Lancez votre première capture pour vous familiariser avec l’interface de Wireshark. C’est en pratiquant que les concepts deviennent concrets.

Lancer une capture

1. Sélectionnez l’interface réseau active (celle qui montre de l’activité dans le graphique, généralement « Ethernet » ou « Wi-Fi »)
2. Double-cliquez sur l’interface ou cliquez sur le bouton requin bleu (Start capturing packets)
3. Le trafic apparaît en temps réel dans la fenêtre principale
4. Ouvrez un navigateur et accédez à un site web pour générer du trafic
5. Revenez dans Wireshark et cliquez sur le bouton carré rouge pour arrêter la capture

Les trois volets de l’interface

L’interface de Wireshark se divise en trois zones distinctes :

Code couleur des paquets

Wireshark utilisé un code couleur pour faciliter l’identification visuelle du trafic :

• Vert clair : trafic HTTP
• Bleu clair : trafic DNS
• Gris/Noir : paquets TCP (SYN, ACK, FIN)
• Rouge : erreurs TCP (retransmissions, RST)
• Jaune : trafic avec avertissement
• Violet clair : trafic ICMP (ping)

Vous pouvez personnaliser ces couleurs dans View > Coloring Rules.

Analyser un paquet TCP en détail

Cliquez sur un paquet TCP dans la liste. Le volet Packet Détails montre la décomposition couche par couche :

1. Frame : informations de la trame (numéro, taille, horodatage)
2. Ethernet II : couche liaison (adresses MAC source et destination)
3. Internet Protocol Version 4 : couche réseau (adresses IP, TTL, protocole)
4. Transmission Control Protocol : couche transport (ports source/destination, flags SYN/ACK/FIN, numéros de séquence)
5. Données applicatives : contenu HTTP, DNS, etc. selon le protocole

Cette décomposition correspond directement au modèle TCP/IP étudié en cours de réseaux. C’est la meilleure façon de rendre concret le fonctionnement des couches réseau.

Filtres essentiels : le cœur de l’analyse

Wireshark proposé deux types de filtres qu’il est essentiel de distinguer : les filtres de capture et les filtres d’affichage. Les filtres d’affichage sont ceux que vous utiliserez le plus souvent.

Filtres de capture vs filtres d’affichage

Filtres d’affichage essentiels par protocole

Voici les filtres que tout analyste réseau doit connaître. Saisissez-les dans la barre de filtre verte en haut de la fenêtre Wireshark.

Filtres d’affichage par adresse et port

Combinaison de filtres

Les opérateurs logiques permettent de combiner les filtres pour des requêtes précises :

# Trafic DNS depuis une IP spécifique
dns && ip.src == 192.168.1.100

# Trafic HTTP ou HTTPS vers un serveur
(http || tls) && ip.dst == 93.184.216.34

# Trafic TCP avec retransmissions (signe de problème réseau)
tcp.analysis.retransmission

# Exclure le trafic DNS et ARP (focus sur le reste)
!dns && !arp

# Trafic HTTP contenant un mot clé dans l'URL
http.request.uri contains "login"

# Paquets de plus de 1000 octets
frame.len > 1000

Cas pratiques BTS SIO avec Wireshark

Voici quatre exercices pratiques que vous pouvez réaliser pour mettre en application vos connaissances. Chaque exercice est réalisable sur votre propre poste ou dans un lab virtuel.

Exercice 1 : Observer un handshake TCP (three-way handshake)

Le handshake TCP en trois étapes (SYN, SYN-ACK, ACK) est un concept fondamental du BTS SIO.

1. Lancez une capture sur votre interface réseau
2. Ouvrez un terminal et exécutez : curl http://example.com
3. Arrêtez la capture
4. Appliquez le filtre : tcp.flags.syn == 1 && ip.dst == 93.184.216.34
5. Identifiez les trois paquets du handshake : SYN (client → serveur), SYN-ACK (serveur → client), ACK (client → serveur)
6. Observez les numéros de séquence (Sequence number) et d’acquittement (Acknowledgment number)

Exercice 2 : Analyser une résolution DNS

1. Lancez une capture avec le filtre d’affichage dns
2. Dans un terminal : nslookup www.google.com
3. Observez la requête DNS (Standard query A www.google.com) et la réponse (Standard query response)
4. Notez le type de requête (A pour IPv4, AAAA pour IPv6), le serveur DNS interrogé et le TTL de la réponse

Exercice 3 : Détecter du trafic HTTP non chiffré

1. Lancez une capture
2. Accédez à un site en HTTP (non HTTPS), par exemple http://neverssl.com
3. Filtrez : http
4. Cliquez sur une requête GET et observez dans le volet Packet Détails : l’URL complète, les headers (User-Agent, Accept, Host), et le contenu de la réponse HTML en clair
5. Comparez avec une connexion HTTPS : le contenu est chiffré, seul le handshake TLS est visible

Cet exercice illustre parfaitement pourquoi le chiffrement HTTPS est essentiel. Voir les données transiter en clair marque les esprits bien plus qu’un cours théorique. Approfondissez ce sujet avec notre introduction à la cybersécurité.

Exercice 4 : Observer le processus DHCP (DORA)

1. Lancez une capture avec le filtre dhcp
2. Renouvelez votre bail DHCP : sudo dhclient -r && sudo dhclient (Linux) ou ipconfig /release && ipconfig /renew (Windows)
3. Identifiez les quatre messages DORA : Discover (client broadcast), Offer (serveur proposé une IP), Request (client accepte), Acknowledge (serveur confirmé)
4. Notez l’adresse IP attribuée, le masque, la passerelle et le bail (lease time)

Fonctionnalités avancées utiles

Au-delà de la capture basique, Wireshark offre des fonctionnalités qui simplifient l’analyse de trafic complexe.

Suivre un flux TCP (Follow TCP Stream)

Faites un clic droit sur un paquet TCP > Follow > TCP Stream. Wireshark reconstitue l’échange complet entre le client et le serveur, affiché en texte lisible. C’est particulièrement utile pour lire des échanges HTTP, SMTP ou FTP en clair.

Statistiques et graphiques

• Statistics > Conversations : liste toutes les communications IP et TCP, triées par volume de données
• Statistics > Protocol Hierarchy : répartition du trafic par protocole (pourcentage de DNS, HTTP, TLS, etc.)
• Statistics > I/O Graphs : graphique temporel du débit réseau avec possibilité de superposer des filtres
• Statistics > Endpoints : liste toutes les adresses IP avec le volume de données échangé

Exporter des objets

Pour les captures HTTP non chiffrées, Wireshark peut extraire les fichiers transférés : File > Export Objects > HTTP. Vous verrez la liste des fichiers (images, HTML, JavaScript) téléchargés pendant la capture. Cela illustre les risques de sécurité du HTTP non chiffré.

Profils de configuration

Créez des profils personnalisés pour différents types d’analyse : un profil « Réseau » avec les colonnes IP source/destination et les filtres courants, un profil « Cybersécurité » avec les colonnes adaptées à la détection d’anomalies, un profil « Développement » focalisé sur les couches applicatives.

Wireshark en contexte cybersécurité

Wireshark est un outil fondamental en cybersécurité. Voici les analyses les plus courantes dans ce contexte.

Détection de scans de ports

Un scan de ports Nmap génère un trafic caractéristique visible dans Wireshark :

# Filtre pour détecter un scan SYN (demi-ouvert)
tcp.flags.syn == 1 && tcp.flags.ack == 0 && tcp.window_size <= 1024

# Nombreux paquets RST en réponse (ports fermés)
tcp.flags.rst == 1

Détection d'ARP spoofing

# Filtre pour les réponses ARP multiples
arp.opcode == 2

# Vérifiez si plusieurs réponses ARP associent des adresses MAC différentes à la même IP

Identification de trafic suspect

• DNS tunneling : requêtes DNS anormalement longues ou fréquentes (dns && dns.qry.name.len > 50)
• Beaconing : connexions sortantes régulières vers la même IP à intervalles fixes
• Exfiltration : volumes de données anormalement élevés vers une IP externe

Pour approfondir ces aspects, consultez notre guide sur les métiers de la cybersécurité et la certification CompTIA Security+, qui couvre l'analyse de trafic réseau parmi ses objectifs.

Quiz : quel filtre Wireshark utiliser ?

Conclusion

Wireshark transforme les concepts abstraits du modèle TCP/IP en observations concrètes et vérifiables. C'est un outil que vous utiliserez tout au long de votre carrière, que vous choisissiez l'administration réseau, la cybersécurité où le développement. En maîtrisant les filtres essentiels et les cas pratiques présentés dans ce guide, vous disposez d'une base solide pour l'analyse de trafic réseau.

Pour compléter votre formation, explorez notre introduction à la cybersécurité, notre guide sur les métiers de la cybersécurité en France et la certification CompTIA Security+. La documentation officielle Wireshark et les ressources Cisco Networking Academy offrent des exercices supplémentaires de qualité.

Lucie Moreau

Formatrice IT indépendante depuis 2016, ancienne étudiante BTS SIO SLAM. 6 ans d'expérience en entreprise.