Qu'est-ce que la capture de paquets (PCAP) ?

La capture de paquets (PCAP) désigne le processus consistant à intercepter et à enregistrer le trafic réseau – c'est-à-dire l'intégralité du contenu ou des en-têtes des paquets transitant par une interface – dans un fichier en vue d'une analyse ultérieure. Elle est à la base du dépannage réseau, de l'analyse des intrusions et des analyses de conformité, permettant aux analystes de rejouer exactement ce qui a transité par le réseau.

Points clés à retenir

• La capture de paquets permet d'enregistrer le trafic brut à des fins de dépannage et d'analyse forensic.
• Les captures peuvent être complètes, filtrées ou déclenchées par un événement spécifique.
• Le format de fichier pcap/pcapng est une norme de fait dans le secteur.
• Versa Les captures de déclenchement NGFW et IDP sont associées aux événements de sécurité détectés.
• Les nœuds d'analyse stockent les données capturées afin de permettre leur téléchargement et leur analyse hors ligne.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Capture de paquets et Versa · FAQ

Pourquoi la capture de paquets est-elle importante ?

La plupart des outils réseau et de sécurité fournissent un résumé du trafic – un enregistrement de flux, une alerte de menace, un journal de session –, mais ce résumé peut masquer les détails qui permettent de comprendre ce qui s'est réellement passé. La capture de paquets conserve le trafic tel quel : les en-têtes, les charges utiles et la chronologie exactes de chaque trame transitant par une interface. Ainsi, un analyste peut rejouer une conversation octet par octet, au lieu de se fier à une déduction tirée de celle-ci.

C’est particulièrement important lorsqu’il s’agit de prouver quelque chose, et pas seulement de signaler un incident. Une alerte de détection d’intrusion indique qu’une signature a été identifiée ; la capture de paquets associée à cette correspondance permet de déterminer s’il s’agissait d’une véritable tentative d’exploitation ou d’un faux positif, et de savoir ce que l’attaquant a réellement envoyé. Une coupure d’appel VoIP ou une réponse lente d’une application ne peut être diagnostiquée à partir des seules statistiques de flux que dans une certaine mesure : une capture montre directement les retransmissions ou les paquets mal formés. Les captures étant gourmandes en ressources, la plupart des déploiements les exécutent de manière sélective – déclenchées par un événement de sécurité ou une fenêtre de diagnostic – plutôt que de manière continue.

Qu'est-ce que la capture de paquets ?

La capture de paquets consiste à copier les paquets au fur et à mesure qu’ils transitent par une interface surveillée, sans modifier la manière dont ces paquets sont effectivement acheminés. Un agent de capture – qu’il s’agisse d’une bibliothèque logicielle telle que libpcap, d’un « tap » matériel ou d’une fonctionnalité intégrée à un périphérique réseau – s’interpose au niveau de l’interface, compare le trafic à un filtre facultatif, puis enregistre dans un fichier les octets bruts de chaque paquet correspondant ainsi qu’un horodatage.

Le format de fichier pcap, ainsi que son successeur pcapng, constituent la norme de facto pour ces données ; la plupart des outils d’analyse peuvent lire et écrire ces formats de manière interchangeable. Les captures peuvent enregistrer chaque octet de chaque paquet ou, plus couramment à grande échelle, ne capturer que les en-têtes ou un nombre limité de paquets autour d’un événement déclencheur, privilégiant ainsi l’espace de stockage au détriment des détails spécifiques requis par une enquête. Une fois enregistré, le fichier est portable : il peut être téléchargé et ouvert hors ligne dans un analyseur de protocole tel que Wireshark afin de reconstituer des sessions et de déterminer précisément ce qu’un appareil a envoyé ou reçu.

Types de capture de paquets

La capture complète (en continu) enregistre chaque paquet transitant par une interface tant qu'elle est active ; elle offre une fidélité totale mais sollicite rapidement l'espace disque et le processeur, c'est pourquoi elle est généralement réservée à des sessions de dépannage courtes et ciblées.

La capture déclenchée (pilotée par les événements) ne commence l'enregistrement que lorsqu'une condition se produit – correspondance avec une signature de détection d'intrusion, règle de politique, anomalie – et capture une fenêtre délimitée de paquets immédiatement avant et après le déclencheur. Il s'agit du modèle le plus couramment utilisé en production, car il fournit des détails d'analyse sans capturer de trafic que personne n'examinera.

La capture filtrée permet de restreindre les données enregistrées à l'aide de critères de correspondance tels que l'adresse source ou de destination, le port, le protocole ou l'application, de sorte que seul le trafic pertinent pour le problème en question soit enregistré sur le disque.

Capture des en-têtes uniquement ou capture de la charge utile complète: les en-têtes suffisent à elles seules pour analyser la synchronisation et les retransmissions, pour un coût de stockage bien inférieur à celui des charges utiles complètes, qui ne sont nécessaires que lorsque le contenu lui-même fait l'objet d'une analyse.

Capture de paquets et Versa

Versa met en œuvre la capture de paquets en tant que fonctionnalité de diagnostic des moteurs de politiques NGFW, IDP et de surveillance du trafic, configurée via la fonctionnalité « Apply Log Export ». Pour l’IDP, une règle de profil de vulnérabilité active la capture avec une « pré-fenêtre » et une « post-fenêtre » configurables : les paquets capturés immédiatement avant et après le paquet correspondant à une signature d’attaque (voir « Configurer la détection et la prévention des intrusions »). Pour le NGFW, la capture est activée par règle de politique d’accès, avec une limite de paquets par défaut (20 000, réglable entre 1 000 et 50 000) et un délai d’expiration (600 secondes) définis dans le contrôle de journalisation. Les règles de politique de surveillance du trafic peuvent également envoyer des données de capture de paquets pour des flux sélectionnés.

Dans tous les cas, les paquets capturés sont exportés vers le collecteur actif défini dans le profil de fonctionnalité d’exportation des journaux (LEF) associé, puis acheminés vers un nœud Analytics, car la capture de paquets mobilise d’importantes ressources tant sur VOS que sur Analytics et n’est recommandée qu’à des fins de diagnostic. Depuis l’interface graphique d’Analytics, les administrateurs peuvent consulter le tableau du journal de capture de paquets et télécharger chaque entrée au format pcap – ouvrable directement dans Wireshark – ou sous forme de texte brut.

Questions fréquentes

Que signifie l'acronyme PCAP ?

PCAP signifie « capture de paquets ». Cette même abréviation désigne également le format de fichier pcap utilisé par la plupart des outils de capture pour stocker le trafic enregistré ; ce terme fait donc référence à la fois à l'activité et au fichier qui en résulte.

Quelle est la différence entre la capture de paquets et NetFlow ?

NetFlow et les protocoles de flux similaires enregistrent des statistiques récapitulatives sur chaque session (source, destination, nombre d'octets, durée) sans en révéler le contenu. La capture de paquets enregistre les paquets réels, y compris leur charge utile, ce qui fournit des informations bien plus détaillées, mais entraîne des coûts de stockage et de traitement nettement plus élevés.

La capture de paquets est-elle la même chose que l'inspection approfondie des paquets ?

Non. L'inspection approfondie des paquets (DPI) examine le contenu des paquets en temps réel afin de classer le trafic ou d'appliquer une politique, puis rejette le paquet. La capture de paquets consiste à enregistrer les paquets dans un fichier en vue d'une analyse ultérieure ; un moteur DPI peut déclencher une capture, mais il s'agit de deux fonctions distinctes.

Quel outil utilisez-vous pour ouvrir un fichier pcap ?

Un analyseur de protocoles tel que Wireshark est l'outil standard permettant d'ouvrir et de décoder des fichiers pcap ou pcapng, ce qui permet à un analyste de filtrer, de suivre des sessions et d'inspecter les en-têtes et les données utiles. Des outils en ligne de commande tels que tcpdump et tshark peuvent également lire les fichiers pcap.

La capture de paquets a-t-elle un impact sur les performances du réseau ?

Oui. La capture et l'exportation de paquets sollicitent le processeur et l'espace de stockage tant sur le périphérique de capture que sur le collecteur qui reçoit les données ; c'est pourquoi, dans la plupart des déploiements, cette fonctionnalité est activée de manière sélective – par exemple lors d'un incident de sécurité ou pendant une fenêtre de dépannage définie – plutôt que de manière continue en environnement de production.

En savoir plus sur la capture de paquets

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la capture de paquets, voici quelques liens qui pourraient vous intéresser.