Wireshark

# Demarrer Wireshark sur une interface specifique
wireshark -i eth0

# Capture en ligne de commande avec tshark
tshark -i eth0 -w capture.pcap

# Capture avec filtre (HTTP uniquement)
tshark -i eth0 -f "port 80" -w http_traffic.pcap

# Capture pour une duree specifique
timeout 60 tshark -i eth0 -w one_minute.pcap

Filtres de Capture (syntaxe BPF) - Appliques pendant la capture :
host 192.168.1.100
port 443
tcp and port 80
not broadcast

Filtres d'Affichage (syntaxe Wireshark) - Appliques aux donnees capturees :
ip.addr == 192.168.1.100
tcp.port == 443
http.request.method == "GET"
dns.flags.response == 0

Filtres de Protocole Basiques :

# Filtrer par protocole
http
dns
tcp
udp
icmp
tls
ssh

# HTTP specifique
http.request
http.response
http.request.method == "POST"
http.response.code == 200
http.host contains "example.com"

# DNS specifique
dns
dns.flags.response == 0  # Requetes uniquement
dns.flags.response == 1  # Reponses uniquement
dns.qry.name contains "suspect"

# TLS/SSL
tls.handshake
tls.handshake.type == 1  # Client Hello
tls.handshake.extensions_server_name

Filtres d'Adresse IP :
ip.addr == 192.168.1.100        # Source ou destination
ip.src == 192.168.1.100         # Source uniquement
ip.dst == 192.168.1.100         # Destination uniquement
ip.addr == 192.168.1.0/24       # Sous-reseau

Filtres de Port :
tcp.port == 443                 # Source ou destination
tcp.dstport == 80               # Destination uniquement
tcp.srcport == 53               # Source uniquement
udp.port == 53

Filtres Combines :
ip.addr == 192.168.1.100 && tcp.port == 443
http && ip.src == 10.0.0.5
(dns || http) && ip.addr == 192.168.1.100

Filtres d'Analyse de Securite :

# Connexions TCP echouees (flags RST)
tcp.flags.reset == 1

# SYN sans ACK (scan potentiel)
tcp.flags.syn == 1 && tcp.flags.ack == 0

# DNS suspect (noms d'hotes longs, TLDs inhabituels)
dns && dns.qry.name contains ".xyz"

# HTTP avec SQLi potentiel
http.request.uri contains "UNION"
http.request.uri contains "SELECT"

# Identifiants en clair
http.authorization
ftp.request.command == "PASS"

# Gros transferts de donnees
tcp.len > 10000

Suivi de Flux :
- Flux TCP : Conversation TCP complete
- Flux UDP : Paquets UDP relies
- Flux TLS : TLS dechiffre (necessite les cles)
- Flux HTTP : Paires requete/reponse HTTP

Cas d'Utilisation :
- Reconstruire les fichiers telecharges
- Voir les conversations HTTP completes
- Analyser le trafic de commande et controle
- Extraire les identifiants des protocoles en clair

Fonctionnalites Statistiques Utiles :

Statistiques > Conversations
- Voir toutes les conversations IP/TCP/UDP
- Identifier les plus gros communicants
- Trier par octets transferes

Statistiques > Hierarchie des Protocoles
- Repartition des protocoles dans la capture
- Identifier les protocoles inattendus

Statistiques > Endpoints
- Tous les hotes communicants
- Volume de trafic par hote

Statistiques > HTTP > Requetes
- Toutes les requetes HTTP dans la capture
- Apercu rapide des URLs

Analyser > Info Expert
- Avertissements et erreurs
- Retransmissions, resets
- Violations de protocole

Exporter Objets (Fichier > Exporter Objets) :
- HTTP : Fichiers telecharges, images, documents
- SMB : Partages de fichiers Windows
- IMF : Messages email
- TFTP : Fichiers transferes

Extraction Manuelle :
- Suivre le flux > Enregistrer en brut
- Fichier > Exporter Octets du Paquet
- Utiliser tshark pour extraction automatisee

Workflow d'Investigation d'Incident :

1. Cadrer la Periode
 - Filtrer a la fenetre temporelle pertinente
 - Identifier les hotes impliques

2. Identifier le Trafic C2
 - Chercher les patterns de beaconing
 - Verifier le DNS pour le tunneling
 - Examiner les ports/protocoles inhabituels

3. Tracer le Mouvement Lateral
 - Connexions SMB/RDP
 - Trafic d'authentification
 - Execution distante (WMI, PSExec)

4. Trouver l'Exfiltration de Donnees
 - Gros transferts sortants
 - Tunnels chiffres
 - Uploads vers stockage cloud

5. Extraire les IOC
 - IP/domaines destination
 - User agents
 - Hash de fichiers des transferts