Sniffing et attaques réseau

1. Le sniffing, base de la surveillance réseau

Le sniffing est une technique d’interception qui permet de capturer, en temps réel ou en différé, les paquets de données circulant sur un réseau informatique. Contrairement à d’autres types d’attaques, il ne repose pas nécessairement sur l’exploitation d’une vulnérabilité logicielle ou matérielle. Son efficacité repose avant tout sur l’architecture du réseau, la configuration des équipements actifs et le comportement des utilisateurs.

Dans sa forme la plus simple, le sniffing est comparable à un enregistreur branché sur un câble réseau : tout ce qui passe est écouté et archivé. Cela inclut des trames ARP, des paquets IP, des segments TCP, des requêtes DNS, ou encore des sessions complètes de protocoles applicatifs comme HTTP, SMTP ou FTP. Sur un réseau mal sécurisé, il devient possible de reconstruire des conversations entières, de récupérer des identifiants, voire d’extraire des fichiers transmis en clair.

Cette pratique est au cœur du travail de nombreux outils de sécurité, à commencer par les analyseurs de paquets comme Wireshark, tcpdump ou Snort. Elle constitue également un volet incontournable du travail des pentesters...

1. Le modèle OSI comme cadre d’analyse du sniffing

Le modèle OSI (Open Systems Interconnection) est un cadre conceptuel proposé par l’ISO pour standardiser les communications dans les réseaux informatiques. Il divise le processus de transmission de données en sept couches distinctes, de la plus basse (physique) à la plus haute (application). Chaque couche fournit des services à la couche supérieure et repose sur les services de la couche inférieure. Ce découpage logique permet de décomposer le fonctionnement d’un réseau en étapes compréhensibles et indépendantes, facilitant ainsi l’analyse, le diagnostic et la sécurisation des flux.

Les trois premières couches (physique, liaison de données, réseau) gèrent le transport brut des données, l’adressage, et le routage. Les couches intermédiaires (transport et session) assurent la fiabilité et le suivi des connexions. Enfin, les couches hautes (présentation et application) concernent directement les échanges de données métiers visibles par les utilisateurs et les applications. Le modèle OSI est utilisé comme référence dans de nombreuses certifications, dont le CEH, car il permet de structurer l’analyse d’une attaque ou d’un flux capturé en identifiant le niveau concerné et les vulnérabilités associées.

Le sniffing ne s’effectue pas dans un vide abstrait, mais au sein de ce processus structuré. Il exploite principalement les couches liaison, réseau et application, car c’est à ces niveaux que transitent les trames Ethernet, les paquets IP, et les contenus applicatifs exploitables. En étudiant les échanges à travers ces couches, il devient possible de capturer des identifiants, de suivre une session TCP, de reconstituer un échange FTP ou de détourner un flux destiné à un autre hôte. Le modèle OSI devient donc un outil de repérage essentiel pour orienter une écoute...

1. Wireshark : visualiser, disséquer, comprendre

Wireshark s’impose comme l’outil d’analyse réseau le plus complet et le plus utilisé à travers le monde. Sa force réside dans sa capacité à capturer le trafic en temps réel tout en offrant une visualisation détaillée et hiérarchique de chaque paquet. Chaque segment capturé est automatiquement analysé, les couches sont séparées selon le modèle OSI, et les protocoles décodés jusqu’à leur contenu brut.

Au-delà de la simple visualisation, Wireshark est un véritable moteur d’analyse. Il permet de construire des filtres complexes pour isoler des paquets spécifiques, détecter des comportements anormaux ou extraire des flux critiques. La granularité des filtres d’affichage autorise des recherches très précises, y compris dans des captures contenant des millions de paquets. Par exemple, il est possible de ne faire apparaître que les segments TCP contenant une séquence spécifique, ou alors seulement...

1. Mode promiscuité des interfaces réseau

Le premier niveau d’action se situe au niveau de la carte réseau elle-même. Par défaut, une interface ne traite que les paquets qui lui sont explicitement adressés. En activant le mode promiscuité, il devient possible de forcer la carte à accepter tous les paquets qu’elle reçoit, sans filtrage préalable sur l’adresse MAC de destination. Ce mode est indispensable pour l’analyse réseau, car il permet à des outils comme Wireshark ou tcpdump d’enregistrer les trames même lorsqu’elles ne sont pas destinées à l’hôte.

Cependant, sur un réseau commuté, cette technique reste insuffisante à elle seule. Le switch continue à diriger les paquets de manière sélective, ce qui empêche leur réception...

1. Définition, rôle et typologies des IDS

Un système de détection d’intrusion est un dispositif technique conçu pour analyser en temps réel ou en différé les activités d’un réseau ou d’un hôte, dans le but de repérer des comportements anormaux, des signatures d’attaque connues ou des schémas suspects. Il ne bloque pas les attaques de manière active - ce rôle relève des IPS - mais il permet d’alerter les administrateurs, de consigner les événements, et de déclencher des mécanismes de réponse automatisée en cas de besoin.

On distingue deux grandes familles d’IDS. Les systèmes dits NIDS (Network-based Intrusion Detection Systems) surveillent l’ensemble du trafic réseau en analysant les paquets qui transitent sur une interface d’écoute stratégique. Ils permettent de détecter des attaques visant plusieurs machines, des scans de port, ou des tentatives d’exploitation traversant les couches basses. Les HIDS (Host-based Intrusion Detection Systems), quant à eux, sont installés...

1. Fragmentation de paquets et décalage temporel

L’une des méthodes les plus répandues pour échapper à la vigilance d’un IDS consiste à fragmenter les paquets au moment de leur envoi. Plutôt que de transmettre un payload malveillant sous forme d’un seul paquet identifiable, l’attaquant le découpe en plusieurs segments IP ou TCP, qui seront réassemblés uniquement par la machine cible. Un IDS classique, n’effectuant pas de reconstitution complète, ne détectera que des fragments partiels, chacun inoffensif pris isolément.

Cette technique, appelée fragmentation IP ou session splicing selon les cas, est particulièrement efficace contre les IDS positionnés en miroir réseau sans capacité de recomposition. Elle exploite...

1. Logiques de filtrage

Les pare-feu les plus simples fonctionnent selon une logique de filtrage par paquets. Ils inspectent chaque paquet, de manière indépendante, en se basant sur ses métadonnées : adresses IP source et destination, ports utilisés, et protocole de transport. Ces pare-feu dits de type « packet filtering » prennent leur décision sans mémoire, c’est-à-dire qu’ils ne conservent aucune information sur l’état des connexions. Cette approche, bien que rapide, offre un niveau de sécurité limité, car elle ne permet pas de suivre les échanges dans leur globalité ni de bloquer des comportements subtils.

Les pare-feu dits à « inspection dynamique d’état », ou stateful firewalls, vont plus loin en maintenant une table d’état des connexions. À chaque nouvelle session, une entrée est créée, permettant au pare-feu de suivre l’évolution de la communication. Cette approche autorise un filtrage plus fin, en bloquant par exemple une tentative de réponse TCP sans synchronisation initiale, ou en limitant l’accès à certains services aux connexions...

1. Principes et objectifs d’un honeypot

Un honeypot est un système informatique délibérément vulnérable ou faussement configuré, dont l’objectif est de simuler des services attractifs pour les attaquants. Il peut prendre la forme d’une machine virtuelle, d’un serveur applicatif, d’un service réseau ou même d’un simple port ouvert. Contrairement aux systèmes de production, toute activité détectée sur un honeypot est considérée comme suspecte par défaut. Cela simplifie grandement la corrélation et l’analyse des comportements : un balayage de ports, une tentative de connexion, une injection de commande. Autant de signaux qui, dans un environnement réel, pourraient passer inaperçus au milieu du trafic légitime.

Le honeypot fonctionne comme un capteur d’intrusion...