TL;DR
Wireshark est l’analyseur de protocoles réseau le plus utilisé au monde. Il capture le trafic qui circule sur une interface réseau et le décompose paquet par paquet, protocole par protocole, permettant de lire exactement ce qu’échangent deux machines.
60 % des analystes SOC déclarent l’utiliser chaque semaine (SANS 2025 SOC Survey), et on le retrouve aussi bien dans les missions de pentest que dans les investigations forensiques post-incident.
Mais Wireshark ne fait que montrer ce qui circule. Il ne dit jamais si ce trafic est légitime, dangereux ou anormal. Cette lecture reste entièrement portée par l’analyste qui l’utilise.
Dans n’importe quelle mission de test d’intrusion réseau, il arrive un moment où les outils de scan et d’énumération ne suffisent plus. On sait quels services tournent, on connaît les versions logicielles, on a identifié des endpoints exposés. Mais on ne voit toujours pas ce que les machines se disent réellement. Ce qu’un service répond quand une connexion s’établit. Si un protocole censément chiffré l’est vraiment. Si un équipement communique avec une adresse inattendue. C’est précisément ce que Wireshark permet de voir.
Développé en 1998 par Gerald Combs sous le nom Ethereal et retourné Wireshark en 2006, l’outil est aujourd’hui maintenu par une communauté mondiale active et distribué sous licence GNU GPL v2. Il cumule plus de 20 millions de téléchargements annuels, fonctionne sur Windows, Linux et macOS, et prend en charge plus de 3 000 protocoles réseau. C’est l’un des rares outils que l’on retrouve dans les boîtes à outils des pentesters offensifs, des analystes SOC, des ingénieurs réseau et des équipes de réponse à incident, pour les mêmes raisons fondamentales.
Présentation et principe de fonctionnement
De la capture de paquets à l’analyse de protocoles
Wireshark repose sur une bibliothèque de capture de paquets, libpcap sur Linux/macOS et Npcap sur Windows, qui accède directement à une interface réseau pour intercepter les trames qui la traversent. Ces trames brutes sont ensuite passées à travers une série de dissecteurs de protocoles, des modules spécialisés qui savent comment lire chaque protocole et en extraire les champs pertinents.
Concrètement, quand Wireshark capture une trame Ethernet contenant un paquet IP, lui-même contenant un segment TCP, lui-même contenant une requête HTTP, il applique successivement le dissecteur Ethernet, puis IP, puis TCP, puis HTTP, et affiche l’ensemble de la hiérarchie dans une vue structurée. Cette approche par dissecteurs est ce qui rend Wireshark aussi polyvalent : l’outil prend en charge des protocoles aussi variés que Modbus, DNP3, Kerberos, SMB, QUIC, ou les protocoles propriétaires de nombreux équipements industriels.
Capture en direct et analyse de fichiers pcap
Wireshark fonctionne dans deux modes complémentaires.
En capture en direct, il écoute une interface réseau et enregistre tout ce qui la traverse en temps réel. Sur un réseau commuté (switch), cette capture est naturellement limitée au trafic destiné à ou émis depuis la machine sur laquelle Wireshark s’exécute, sauf configuration spécifique du réseau (port mirroring, accès à un tap physique).
En analyse de fichiers, il ouvre des captures sauvegardées au format pcap ou pcapng. Ces fichiers peuvent avoir été produits par Wireshark lui-même, par tcpdump, par un équipement réseau exportant ses captures, ou par un système de détection d’intrusion. Cette modalité est particulièrement utile dans les investigations post-incident, où les traces ont été collectées au moment de l’événement et sont analysées après coup.
Les filtres : capture et affichage
Wireshark distingue deux familles de filtres qui répondent à des objectifs différents. Les filtres de capture réduisent ce qui est enregistré dès la prise de trafic, ce qui évite de générer des fichiers pcap de plusieurs gigaoctets sur un réseau chargé. Les filtres d’affichage s’appliquent après la capture sur les données déjà enregistrées, permettant d’isoler uniquement les paquets pertinents pour l’analyse en cours sans effacer les autres.
Le déroulement type d’une utilisation
Définir ce qu’on cherche avant de capturer. Une capture sans objectif produit des volumes ingérables. La première étape est de répondre à une question précise : cherche-t-on à identifier des protocoles en clair sur un segment réseau ? À comprendre le comportement d’une application ? À vérifier qu’un correctif a bien éliminé une communication non chiffrée ? À analyser un comportement suspect signalé lors d’un incident ?
Capturer, filtrer, reconstruire. Une fois la capture démarrée et arrêctée, les filtres d’affichage isolent le trafic pertinent. La fonction de suivi de flux (follow stream) reconstitue une conversation complète entre deux machines en rassemblant les paquets dans l’ordre et en affichant le contenu échangé comme un dialogue lisible. C’est cette fonction qui permet de lire le contenu d’une session HTTP, FTP, SMTP ou Telnet capturée en clair.
Analyser les protocoles couche par couche. Pour chaque paquet sélectionné, Wireshark affiche la décomposition complète de ses couches protocolaires. Cette vue permet de repérer des anomalies structurelles, des champs inhabituels, des flags TCP inattendus, des requêtes Kerberos vers un contrôleur de domaine inattendu, ou des connexions SMB vers des adresses externes au périmètre de l’organisation.
Utiliser les statistiques intégrées. Wireshark propose des vues statistiques qui donnent une lecture d’ensemble d’une capture : hiérarchie des protocoles, graphes de conversations entre paires d’adresses, identification des endpoints les plus actifs. Ces vues permettent de repérer rapidement des anomalies de volume ou de distribution qui n’apparaitraient pas à l’analyse individuelle des paquets.
Wireshark face à tcpdump et Zeek
Wireshark permet-il de faire la même chose que tcpdump ?
Tcpdump est l’outil de référence pour la capture en ligne de commande sur les systèmes Unix. Il écrit des fichiers pcap sans interface graphique, ce qui en fait l’outil de choix pour capturer du trafic sur un serveur distant ou dans un script d’automatisation. Wireshark et tcpdump partagent le même format de fichier (pcap/pcapng) et sont parfaitement interopérables : capturer avec tcpdump sur un serveur, rapatrier le fichier et l’analyser dans Wireshark est un workflow courant en pentest. La différence fondamentale est l’interface : tcpdump est plus rapide à déployer sur un système sans interface graphique, Wireshark apporte la navigation interactive, la dissection riche et la reconstruction visuelle des flux.
Quelle différence avec Zeek ?
Zeek (anciennement Bro) est un moteur d’analyse réseau passif qui ne produit pas de fichiers pcap mais des journaux structurés. Là où Wireshark montre chaque paquet individuellement, Zeek reconstruit automatiquement des sessions et produit des logs directement intégrables dans un SIEM. Zeek est conçu pour le monitoring continu à grande échelle. Wireshark est conçu pour l’investigation manuelle ciblée. Les deux ne s’opposent pas mais répondent à des cas d’usage différents.
| Outil | Mode | Points forts | Limites |
|---|---|---|---|
| Wireshark | Capture interactive avec interface graphique | Analyse détaillée paquet par paquet, 3 000 protocoles dissectés, reconstruction de flux | Difficile à utiliser pour du monitoring continu ou sur de très gros volumes |
| tcpdump | Capture en ligne de commande | Léger, déployable à distance ou en script, même format pcap | Pas de visualisation ni de dissection graphique |
| Zeek | Analyse passive continue | Produit des logs structurés, intégration SIEM native | N’expose pas le contenu brut des paquets, configuration plus complexe |
Comment intégrer Wireshark côté défense
Un outil de validation des contrôles, pas seulement d’attaque. Wireshark est particulièrement précieux pour une équipe défensive lorsqu’elle veut vérifier que ses contrôles de sécurité fonctionnent réellement, pas seulement qu’ils sont configurés. Après le déploiement d’une politique de chiffrement, une capture sur le segment concerné confirme immédiatement si du trafic en clair subsiste ou non. Après la désactivation d’un protocole hérité comme NTLM ou SMBv1, une capture valide que ce protocole n’est effectivement plus utilisé sur le réseau. C’est ce type de vérification que notre article sur le monitoring Active Directory aborde du point de vue de la supervision des journaux d’événements : les deux approches sont complémentaires.
Analyser des captures post-incident. Lors d’une investigation sur un incident de sécurité, si des captures réseau ont été préservées pendant ou autour de l’événement, Wireshark permet de reconstruire précisément ce que les systèmes impliqués ont échangé. C’est une source d’information irremplaable pour comprendre comment un attaquant a progressé, quelles données ont transité, et vers quelles adresses des connexions ont été établies.
Détecter les protocoles non chiffrés qui ne devraient plus l’être. Sur de nombreux réseaux d’entreprise, des protocoles historiquement utilisés en clair (FTP, Telnet, HTTP, LDAP non chiffré, SNMPv1/v2) continuent de fonctionner par inertie. Une capture périodique sur les segments sensibles permet d’identifier ces flux et de les éliminer avant qu’un attaquant ne les exploite.
Détecter Wireshark lui-même sur son réseau. En mode promiscuous, l’interface réseau captivée peut être détectée par certaines solutions de monitoring réseau. Des solutions de type Network Detection and Response (NDR) ou des honeypots placés sur le réseau peuvent signaler l’apparition de captures massives de trafic qui ne correspondent pas à un comportement normal d’administration.
Comment nos pentesters intègrent Wireshark en mission
Wireshark fait partie de la boîte à outils que nos pentesters mobilisent lorsque le contexte de la mission l’exige, principalement dans les scénarios où la compréhension du trafic réseau est nécessaire pour avancer dans l’évaluation.
En mission de test d’intrusion réseau, il sert à identifier les protocoles en clair sur le segment accessible, à observer le comportement réseau des applications et services inventoriés avec Nmap, et à analyser les échanges d’authentification sur le réseau local. En combinaison avec un outil comme Responder sur un réseau interne, Wireshark permet d’observer les échanges LLMNR et NBT-NS qui précèdent la capture de credentials, et de valider ce qui a été effectivement intercepté.
Dans les missions de pentest Active Directory, Wireshark permet d’observer le trafic Kerberos entre les postes et les contrôleurs de domaine, ce qui aide à comprendre la séquence d’authentification et à valider certaines hypothèses sur la configuration du domaine.
Dans les environnements industriels, Wireshark est l’un des rares outils capables d’analyser les protocoles OT comme Modbus, DNP3 ou OPC-UA, ce qui en fait un outil de premier plan pour comprendre la topologie réelle d’un réseau industriel lors d’un audit.
Ce que Wireshark ne fait pas
Wireshark est excellent pour ce qu’il fait : capturer et décoder fidèlement le trafic réseau, couche par couche, protocole par protocole, avec une richesse de dissection que peu d’outils égalent. Mais l’outil ne produit pas de conclusions.
Wireshark ne sait pas si le trafic qu’il affiche est normal ou anormal. Un flux SMB vers un serveur interne et un flux SMB vers une adresse externe inconnue se ressemblent dans l’interface ; c’est l’analyste qui fait la différence. Wireshark ne décode pas les protocoles chiffrés sans matériel cryptographique : une capture TLS sans les clés de session reste illisible, et l’outil ne fournit aucun moyen de contourner ce chiffrement.
Wireshark ne génère pas de trafic et ne teste pas de vulnérabilités. Il observe passivement ce qui circule ; toute action sur le réseau doit être conduite par un autre outil. Wireshark ne dit pas non plus si un identifiant capturé en clair est exploitable, si un protocole identifié constitue une vulnérabilité dans le contexte spécifique de l’organisation, ou quelle est la criticité d’une anomalie détectée.
Ces analyses restent entièrement portées par le professionnel qui utilise l’outil. Une capture qui révèle du trafic FTP avec des identifiants en clair est une observation. Décider si cette observation constitue un finding critique ou acceptable selon le contexte, c’est le travail de l’analyste, pas de l’outil.
Cadre légal et éthique
Capturer du trafic réseau sur un réseau dont on n’est pas propriétaire ou sur lequel on n’a pas d’autorisation explicite est illégal en France au titre de l’article 323-1 du Code pénal (accès frauduleux à un système de traitement automatise de données) et de la législation sur l’interception des communications. Même sur un réseau d’entreprise, l’utilisation de Wireshark par des équipes internes sans politique d’utilisation acceptable documentée peut poser des problèmes juridiques liés à l’interception de communications privées des salariés. En mission de pentest, l’utilisation de Wireshark est encadrée par le contrat de mission qui définit précisément le périmètre autorisé et la politique de traitement des données collectées.
Vous voulez savoir ce qui circule en clair sur votre réseau ?
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
Wireshark peut afficher le contenu de protocoles non chiffrés qui transmettent des identifiants en clair, comme FTP, Telnet, HTTP basique, LDAP non chiffré ou SNMPv1/v2. Pour les protocoles chiffrés (HTTPS, SSH, SFTP), le contenu reste illisible sans les clés de déchiffrement correspondantes. La présence d’identifiants en clair dans une capture révèle une mauvaise pratique de sécurité, pas un bug de l’outil.
En mode promiscuous, l’interface réseau capturée peut être détectée par certaines solutions NDR ou par des techniques actives de détection du mode promiscuous. Sur les réseaux commutés modernes, la capture est naturellement limitée au trafic destiné à la machine qui capture, ce qui réduit son impact visible. Une capture active génère peu de trafic réseau supplémentaire par elle-même.
Un IDS/IPS analyse le trafic en temps réel selon des règles prédéfinies et génère des alertes ou bloque des connexions automatiquement. Wireshark capture le trafic brut pour une analyse humaine manuelle et ne génère aucune alerte autonome. Les deux sont complémentaires : un IDS signale une anomalie, Wireshark permet de comprendre exactement ce qui s’est passé dans le trafic associé.
Oui, si le matériel cryptographique nécessaire est disponible. Wireshark peut déchiffrer des sessions TLS à partir d’un fichier de log de clés pré-master (NSS Key Log), que des navigateurs comme Firefox ou Chrome peuvent générer à des fins de débogage. En dehors de ces conditions, le trafic TLS reste illisible.
Non. Wireshark observe passivement le trafic qui circule devant lui ; il ne teste pas de vulnérabilités, ne tente pas d’exploiter des configurations incorrectes, et ne peut voir que ce qui est effectivement émis sur le segment capturé. Un test d’intrusion réseau combine des outils actifs de découverte comme Nmap, des techniques d’exploitation et une validation manuelle qui vont bien au-delà de la simple observation du trafic.
Non, c’est un outil open source légitime distribué sous licence GNU GPL v2. Son usage devient répréhensible uniquement lorsqu’il est employé pour capturer le trafic d’un réseau sans autorisation explicite de son propriétaire. En mission de pentest, son utilisation est encadrée par un contrat définissant précisément le périmètre autorisé.
Wireshark expliqué : capture de paquets, filtres, usage en pentest, comparatif tcpdump/Zeek, détection côté Blue Team et cadre légal. Guide complet PIIRATES.
