Afficher la hiérarchie des protocoles dans Wireshark

I. Présentation

Lorsque l'on enregistre ou traite une capture de trame de taille conséquente dans Wireshark, il peut être intéressant de savoir comment sont répartis les protocoles en terme de poids ou de nombre de paquets dans cet enregistrement. Cela est faisable assez facilement dans Wireshark via une fonction prévue à cet effet.

II. Afficher la hiérarchie des protocoles

La hiérarchie des protocoles va nous permettre de savoir, pour une capture réseau donnée, la proportion des protocoles qui s'y trouvent. Dans Wireshark, cette proportion va être affichée sous forme de pourcentage. Depuis la capture réseau effectuée, il faut se rendre dans "Statistics" puis dans "Protocol Hierarchy" :

hierarchie-wireshark
Accès à la hiérarchie des protocoles

Une nouvelle fenêtre va alors apparaître, celle-ci se composera de plusieurs dizaines voir centaines de lignes en fonction de la diversité des protocoles présents dans votre capture réseau.

hierarchie-wireshark
Affichage de la hiérarchie des protocoles Wireshark

Dans cette capture que j'ai choisi en exemple, on peut voir que 28% des paquets transportaient un protocole chiffré via SSL (Secure Socket Layer) et 2.29% transportaient le protocole HTTP. On trouvera également une répartition par protocole de transport (95.16% de TCP et 4.74% d'UDP dans l'exemple ci-dessus), on pourra même descendre dans le modèle TCP/IP pour voir le pourcentage de trames en IPv4 IPv6, etc.

À droite de ces proportions, nous pourrons également avoir les données que ces pourcentages représentent en octets (Bytes), nombre de paquets, etc. Cela permet d'avoir des valeurs plus parlantes et précises.

III. Trier en fonction des protocoles

À partir de ces données et de cette fenêtre de hiérarchie, nous allons pouvoir effectuer différentes actions qui vont aller dans le sens du filtrage. Si je remarque par exemple que ma capture contient un nombre anormal de protocoles DNS et que je souhaite en savoir plus, on peut facilement faire un clic droit sur la ligne "Domain Name Service" puis appliquer un filtre à partir de cette ligne :

hierarchie-wireshark
Application d'un filtre Wireshark à partir de la hiérarchie des protocoles

On va alors voir, après avoir cliqué sur "Selected" dans la partie "Apply as Filter" que le champ "Filter" de Wireshark s'est rempli automatiquement avec un filtre qui va dans le sens de l'affichage du protocole DNS :

hierarchie-wireshark
Création d'un filtre à partir de la hiérarchie des protocoles

Cela permet d'éviter d'avoir à rédiger nous même les filtres, ce qui peut être complexe lorsque l'on ne travaille pas souvent sur Wireshark ou que les filtres sont plusieurs conditions.

Une autre possibilité que nous allons pouvoir faire est la colorisation du protocole sélectionné dans la capture réseau pour le mettre en exergue. On va pour cela faire un clic droit sur le protocole que nous souhaitons (dans mon cas, toujours DNS), puis nous sélectionnons "Colorize Procedure" puis "Colorize Protocole" :

hierarchie-wireshark-203641
Colorisation du protocole sélectionné

Ici, nous pourrons choisir, en fonction de notre choix, les couleurs à affecter. Nous pourrons au passage observer le filtre qui s'est encore une fois rempli automatiquement et que nous pouvons modifier au besoin :

hierarchie-wireshark-203642
Colorisation du protocole sélectionné

Ici par exemple, je décide de mettre les paquets relatifs au protocole DNS en UDP avec un font vert. Une fois que j'aurais validé ce paramétrage, je pourrais retourner dans ma capture réseau pour observer ma modification :

owncloud-chiffrement-205737
Vu du protocole colorisé Wireshark

Une petite note sur la différence entre "Apply as Filter" et "Prepare a Filter" . Le premier choix va directement appliquer le filtre sur le protocole que nous sélectionnons alors que le second va permettre de construire des filtrages plus complexes avec des "and" et des "or" :

hierarchie-wireshark-203617

Par exemple pour obtenir le filtre suivant, j'ai d'abord fait un "Prepare a Filter" puis "Selected" sur le protocole SSL, puis j'ai fait un "Apply a Filter" sur le protocole HTTP.hierarchie-wireshark-203631Dans un premier temps, ne vous souciez pas trop de cette différence, les deux options sont très similaires.

 

 

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Mickael Dorigny

Fondateur d'IT-Connect.fr et d'Information-security.fr. Auditeur sécurité chez Amossys.

    mickael has 478 posts and counting.See all posts by mickael

    Laisser un commentaire

    Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

     

    Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.