Cet article publié initialement en septembre 2018 lors du renommage historique de Bro IDS en Zeek et de Moloch en Arkime a été enrichi en octobre 2026 avec l’état de l’art actuel des dépôts GitHub officiels (dates de création, derniers commits 2026, licences et étoiles), ainsi que les filtres de détection appliqués sur une architecture Homelab segmentée par VLAN et supervisée par Suricata / CrowdSec.
L’analyse de trafic réseau constitue le socle de tout diagnostic d’infrastructure et de toute investigation de sécurité (Network Forensics & Threat Hunting). Face au chiffrement généralisé des flux (TLS 1.3, QUIC, DoH), l’ingénieur réseau et l’analyste SOC combinent trois approches complémentaires : la cartographie de couche liaison (L2 ARP), l’extraction passive de métadonnées protocolaires sur 30 jours et la capture intégrale de trames (Full-PCAP) déclenchée sur alerte.
1. Matrice des Classiques de l’Analyse Réseau & Historique GitHub
| Outil & Lien Officiel | Dépôt GitHub & Dates du Code | Rôle & Fonctionnement Technique | Conseil Pratique & Défense Homelab |
|---|---|---|---|
Wireshark / tshark | wireshark/wireshark• Origine : 1998 (Ethereal) • GitHub créé : 2014-06-29• Update code : 2026-10-28• ⭐ 10 110 · Licence GPL-2.0 | Analyseur de protocoles réseau de référence (GUI & CLI tshark). Décode plus de 3 000 protocoles (ARP, DNS, TLS, SMB, Zigbee, BLE, SIP/RTP). | Filtres clés : tls.handshake.type == 1 (isoler les SNI TLS en clair), arp.duplicate-address-detected (détecter un ARP spoofing), http.request.method == "POST". |
| Termshark | gcla/termshark• GitHub créé : 2019-04-20• Dernier commit : 2024-04-30 (v2.4.0)• ⭐ 10 049 · Licence MIT | Interface TUI (dans le terminal en SSH) écrite en Go et inspirée de Wireshark, pilotant tshark en arrière-plan. | Idéal pour inspecter interactivement une capture .pcap directement en SSH sur un serveur Linux headless ou depuis une sonde LAN Turtle sans serveur X11. |
| Zeek (ex-Bro) | zeek/zeek• Origine : 1995 (Vern Paxson) • GitHub créé : 2012-07-06• Update code : 2026-10-28• ⭐ 8 147 · Licence BSD-3-Clause | Analyseur réseau passif orienté métadonnées : transforme le trafic brut en journaux transactionnels structurés (conn.log, dns.log, ssl.log, http.log, x509.log). | Permet de repérer une balise C2 périodique (beaconing), un certificat auto-signé suspect ou un tunnel DNS anormal sur 30 à 90 jours sans stocker des téraoctets de .pcap. |
| Arkime (ex-Moloch) | arkime/arkime• Origine : 2012 (AOL Moloch) • GitHub créé : 2012-07-06• Update code : 2026-10-28• ⭐ 7 553 · Licence Apache-2.0 | Capture et indexation Full-PCAP à grande échelle adossée à OpenSearch/Elasticsearch avec interface web de recherche rapide et graphe de sessions. | Très utilisé en SOC pour rejouer visuellement une session réseau complète et extraire le flux TCP exact après une alerte Suricata ou CrowdSec. |
| Netdiscover & arp-scan | • netdiscover-scanner/netdiscover : créé 2019-02-06 (orig. 2005), update 2025-08-14, ⭐ 403, GPL-3.0• royhills/arp-scan : créé 2013-08-15 (orig. 2003), update 2025-03-08, ⭐ 1 313, GPL-3.0 | Cartographie de couche 2 (Ethernet) par requêtes ARP actives à haute vélocité (arp-scan --localnet) ou écoute totalement passive des trames ARP sur le VLAN. | En mode passif (sudo netdiscover -p -i eth0), la sonde n’émet aucun paquet sur le réseau et identifie toute machine ou caméra IoT dès qu’elle émet une trame ARP. |
2. Commandes Opérationnelles & Filtres de Chasse (Threat Hunting)
A. Dissection TLS, ARP et SIP/RTP avec tshark et Wireshark
Même lorsque la charge utile applicative est chiffrée en TLS 1.3, l’en-tête ClientHello expose souvent l’extension SNI (Server Name Indication) ainsi que l’empreinte JA3/JA4 du client TLS :
# Extraire en temps réel les noms de domaines TLS (SNI) et adresses IP sources sans déchiffrement
sudo tshark -i eth0 -Y "tls.handshake.type == 1" \
-T fields -e frame.time -e ip.src -e ip.dst -e tls.handshake.extensions_server_name
# Détecter immédiatement un conflit d'adresse IP ou une tentative d'empoisonnement ARP (MITM L2)
sudo tshark -i eth0 -Y "arp.duplicate-address-detected or arp.isgratuitous"
# Isoler les requêtes HTTP POST non chiffrées ou la signalisation SIP (port 5060) d'un portier vidéo PoE
sudo tshark -i eth0 -Y 'http.request.method == "POST" or sip'
B. Reconnaissance L2 Furtive vs Balayage Actif (Netdiscover & arp-scan)
Un équipement mal configuré ou un implant matériel qui bloque les requêtes ICMP (ping) sur la couche 3 est obligé de résoudre les adresses MAC via le protocole ARP pour communiquer sur son segment Ethernet local :
# Écoute 100 % passive (zéro paquet émis sur le commutateur, indétectable par un IDS réseau)
sudo netdiscover -i eth0 -p
# Inventaire actif rapide de tout un sous-réseau /24 avec résolution du constructeur IEEE OUI
sudo arp-scan --interface=eth0 --localnet
C. Corrélation de Métadonnées Passives avec Zeek (zeek-cut)
Là où un fichier .pcap brut sature rapidement un volume SSD sur un lien 1 Gbps ou 10 Gbps, Zeek génère des journaux tabulaires ou JSON ultra-compacts exploitables instantanément :
# Identifier les 20 domaines externes les plus interrogés en DNS sur les dernières 24 heures
cat dns.log | zeek-cut query qtype_name rcode_name | sort | uniq -c | sort -rn | head -n 20
# Lister toutes les connexions TLS sortantes avec leur SNI et la version du protocole négocié
cat ssl.log | zeek-cut id.orig_h id.resp_h id.resp_p version server_name
3. Architecture de Défense Homelab & Bonnes Pratiques Zero-Trust
- Segmentation stricte par VLAN (802.1Q) : Isoler les équipements IoT, caméras PoE (
ONVIF/RTSP) et portiers vidéo SIP dans un VLAN dédié dépourvu d’accès direct à Internet (règlesDROPpar défaut vers le WAN sur le pare-feu, accès NTP et SIP local uniquement). - Protection L2 sur le commutateur manageable (
DHCP Snooping&Dynamic ARP Inspection) : Activer l’inspection ARP dynamique sur le switch PoE afin de bloquer toute trameARP Replyusurpant l’adresse MAC de la passerelle par défaut. - Rétention stratifiée (Métadonnées longues + PCAP court) : Conserver 90 jours de journaux Zeek / Suricata EVE JSON dans Loki/VictoriaLogs pour l’investigation rétrospective, combinés à un tampon circulaire (ring buffer) Arkime ou
tcpdumplimité aux dernières 24 à 48 heures sur disque dédié.
Sources
- Wireshark Official Documentation & Display Filter Reference
- Dépôt GitHub Officiel Wireshark (
wireshark/wireshark) - Dépôt GitHub Officiel Termshark (
gcla/termshark) - Zeek Network Security Monitor : Documentation & GitHub (
zeek/zeek) - Arkime (ex-Moloch) Full Packet Capture : Site Officiel & GitHub (
arkime/arkime) - Netdiscover (
netdiscover-scanner/netdiscover) & arp-scan (royhills/arp-scan)
Si vous voulez plus d’information sur l’infrastructure vous pouvez voir mon repo à ce sujet : https://github.com/ravindrajob/InfraAtHome