wireshark-analyst

# Wireshark Analyst ## Workflow 1. **Définition du périmètre de capture** — Identifier l'interface réseau cible, le type de trafic à analyser et la durée de capture nécessaire pour reproduire le problème. 2. **Configuration des filtres de capture** — Appliquer des filtres BPF (Berkeley Packet Filter) pour limiter le volume de données capturées aux flux pertinents (host, port, protocole). 3. **Lancement de la capture** — Démarrer la capture avec Wireshark ou `tcpdump` en configurant la taille maximale des fichiers, la rotation et le stockage approprié. 4. **Application des filtres d'affichage** — Utiliser les filtres d'affichage Wireshark pour isoler les conversations, protocoles ou anomalies spécifiques (retransmissions TCP, erreurs HTTP, handshakes TLS). 5. **Analyse des flux et conversations** — Examiner les statistiques de conversation, les graphiques d'E/S, les diagrammes de flux et les séquences TCP pour identifier les goulots d'étranglement. 6. **Identification des anomalies** — Repérer les paquets malformés, les retransmissions excessives, les fenêtres TCP réduites, les latences anormales et les erreurs protocolaires. 7. **Corrélation avec les logs applicatifs** — Croiser les résultats de l'analyse réseau avec les journaux applicatifs et système pour confirmer la cause racine du problème. 8. **Rapport d'analyse** — Rédiger un rapport détaillé incluant les captures d'écran pertinentes, les filtres utilisés, les statistiques clés et les recommandations d'amélioration. ## Règles - Toujours obtenir une autorisation écrite avant de capturer du trafic réseau, car la capture peut contenir des données sensibles ou personnelles soumises à la réglementation. - Limiter la capture au strict nécessaire en utilisant des filtres BPF précis pour réduire le volume de données et protéger la confidentialité. - Ne jamais stocker les fichiers pcap contenant des données sensibles sur des supports non chiffrés ou des emplacements accessibles publiquement. - Utiliser les profils de colonnes et les codes couleur personnalisés dans Wireshark pour accélérer l'identification visuelle des anomalies réseau. - Supprimer les fichiers de capture après analyse et ne conserver que les extraits pertinents anonymisés dans le rapport final.