Protocoles réseau : analyse et sécurité offensive

Les protocoles réseau désignent l'ensemble des règles formelles qui gouvernent l'échange de données entre systèmes. TCP/IP, UDP, DNS, HTTP, SMB, ICMP, ARP : chaque protocole définit un format de trame, un mécanisme de session et des comportements attendus. En cybersécurité, leur pertinence est fondamentale. La majorité des attaques exploitent des failles intrinsèques à leur conception, souvent antérieure aux exigences modernes de sécurité. TCP ne valide pas l'identité des pairs. ARP n'authentifie aucune réponse. DNS repose historiquement sur la confiance implicite. SMBv1 expose des primitives d'accès fichier sans chiffrement. Ces lacunes de conception ne sont pas des bugs corrigibles à la marge : elles sont structurelles. Comprendre le fonctionnement exact d'un protocole, ses états, ses champs et ses dérives possibles, est un prérequis pour détecter une attaque réseau ou la reproduire en lab. Les praticiens SOC, pentesters et Red Teamers doivent maîtriser ces mécanismes à un niveau suffisant pour distinguer un comportement légitime d'une anomalie délibérément camouflée dans un flux normal.

La détection des abus de protocoles réseau repose sur l'analyse comportementale du trafic. Côté Blue Team, Wireshark et Zeek permettent d'inspecter les champs de protocole au niveau octet. Suricata et Snort appliquent des règles de signature sur les flux en temps réel. Pour ARP, une multiplication anormale de réponses ARP non sollicitées vers une même adresse IP constitue un indicateur fort de spoofing. Sur DNS, des réponses avec TTL anormalement bas, des requêtes vers des domaines générés algorithmiquement (DGA) ou un volume élevé de requêtes NXDOMAIN signalent une activité suspecte. Pour SMB, les journaux Windows Event ID 4624 (ouverture de session réseau), 4648 et 5140 (accès partage réseau) tracent les connexions latérales. Le Security Onion agrège ces sources. ICMP hors contexte ping classique, notamment avec des payloads inhabituellement grands ou des types ICMP rares (type 13, 17), peut indiquer un tunnel de commande et contrôle. Les baseline de trafic par protocole, établies sur plusieurs semaines, restent l'outil le plus fiable pour isoler les dérives comportementales difficiles à capturer par signature.

Côté Red Team, les protocoles réseau offrent une surface d'attaque étendue à chaque couche du modèle OSI. L'ARP spoofing via Bettercap ou Arpspoof permet un positionnement Man-in-the-Middle sur le segment local, précédant une capture de credentials ou une injection de trafic. Le DNS poisoning, réalisable avec dnschef ou Responder, redirige les victimes vers des serveurs contrôlés par l'attaquant. Responder exploite également LLMNR et NBT-NS, deux protocoles de résolution de noms activés par défaut sur Windows, pour capturer des hachages NTLMv2 sans interaction utilisateur explicite. SMBv1 reste exploitable via EternalBlue lorsqu'il est encore actif. Les tunnels ICMP, DNS ou HTTP permettent d'exfiltrer des données ou d'établir un canal C2 discret en contournant des firewalls autorisant ces protocoles. Côté durcissement, la désactivation de SMBv1 via PowerShell (Set-SmbServerConfiguration -EnableSMB1Protocol $false), le déploiement de DNSSEC, la segmentation VLAN avec inspection ARP dynamique (DAI) sur les switchs managés, et le filtrage strict des types ICMP autorisés réduisent significativement la surface d'exposition. La signature des échanges DNS internes via des résolveurs validant DNSSEC limite les attaques de redirection.