NetworkMiner : le complément de Wireshark

Wireshark est très pratique pour monitorer un réseau et regarder ce qui s’y passe, ce qui y transite. Mais Du fait de son efficacité, il peut vite devenir fastidieux de trier l’ensemble des datas recueillies. NetworkMiner peut aider à faire ce tri.

Il partage avec Wireshark certaines possibilités comme la capture du flux sur un réseau et la lecture postérieure des captures. Initialement conçu pour les environnements Windows, il est possible de le faire démarrer sur des environnements Linux grâce à Mono ainsi que le montre ce tutoriel. Il est également possible de le faire tourner simplement sur des environnements Debian/Ubuntu ainsi que l’explique cet article.

Sachez qu’il existe une version professionnelle, payante, pour celles et ceux qui auraient des besoins spécifiques. La version « community » mise à disposition sur Sourceforge ne nécessite aucun enregistrement.

Son gros avantage réside dans le fait qu’il n’y a pas besoin de jouer avec les filtres comme avec Wireshark : il trie et classifie lui-même les informations recueillies.  Et voici quelques instructions de bases pour s’en servir. 

On commence par télécharger l’archive ici, on extrait les fichiers et on lance NetworkMiner.exe en mode administrateur.

Lecture a posteriori des datas

On clique simplement sur File > Open et on sélectionne un fichier de datas.

L’outil va alors charger les informations et les trier. Cela peut prendre quelques instants selon le volume des informations.

Comme on le voit, la partie Host indique tous les sites visités ainsi que ceux qui se trouvent en cache, qui sont grisés. Les Hosts en noir sont ceux qui sont actuellement ouverts par la machine. Il repère également les autres machines connectées sur le même réseau, même si ces dernières sont inactives. Ce qui facilite la lecture est la présentation en arborescence même s’il n’existe pas de fonctions de recherche : le Ctrl+F étant inexistant.  

Lorsque l’on a repéré une connexion intéressante dans la catégorie Hosts, on va regarder non pas dans la catégorie Frame mais dans la catégorie File la dite connexion. En faisant un clic droit > Open File sur la ligne relative à l’Host intéressant, on obtient alors la copie conforme de la page visitée par la personne.

La partie message est dédiée aux messageries et aux protocoles comme IRC.

Capture en direct

Il suffit de cliquer sur le menu déroulant et de sélectionner l’interface désirée pour procéder à la capture et d’appuyer ensuite sur Start.

La capture va être faite en direct mais va également être directement triée. Il est donc possible de le laisser tourner en fond et lire ensuite ce que va donner la capture. L’outil garde également les captures, que celles-ci aient été faites en direct ou chargées a posteriori. Elles sont archivées dans le dossier décompressé de NetworkMiner, dans le dossier Captures. On peut donc nettoyer la partie Case Panel située sur la droite de l’interface de l’outil sans les supprimer du dossier captures.

Pour conclure, il s’agit d’un outil qui a l’avantage d’être simple d’utilisation, avec une interface graphique abordable pour les débutants, qui peut être utilisé en complément de Wireshark, qui reste l’outil de monitoring le plus fin et qui peut être utilisé comme passerelle d’apprentissage vers Wireshark.