Pourquoi l’analyse des paquets ARP est importante ?

 Pourquoi l’analyse des paquets ARP est importante ?

Comparaison Omnipeek et Wireshark – chap. 3

 

Découvrez dans cette courte vidéo de moins de 4 minutes combien il est plus rapide et plus intuitif de réaliser l’analyse des paquets ARP avec Omnipeek qu’avec Wireshark.

Un petit rappel …

Qu’est-ce que le protocole ARP ?

En résumé, le protocole ARP (Address Resolution Protocole) est un protocole qui permet aux machines connectées à un réseau de faire le lien entre l’adresse IP (couche 3 du modèle OSI) et l’adresse MAC (couche 2 du modèle OSI).

Pour faire simple :

Quand un ordinateur veut contacter un autre ordinateur du même réseau il envoie une trame ARP request sur le réseau :  « Qui utilise l’adresse IP xxx.xxx.xxx.xxx, répondez à mon adresse IP que voici yyy.yyy.yyy ». Quand l’ordinateur cible répond, le paquet de réponse contient la MAC address du destinataire.

Que nous enseignent les échanges ARP ?

L’analyse des paquets ARP nous livre de nombreux indices pertinents car ARP est un protocole particulièrement bavard.

Trop d’ARP request indique qu’un matériel tente de se connecter à un autre.

Répétition d’ARP request pour la même IP. La machine ne peut être trouvée : elle est déconnectée du réseau ou éteinte.

Plus d’ARP request que d’ARP response va créer un trafic de broadcast excédentaire qui va occuper la bande passante réseau et solliciter l’ensemble des ordinateurs

Un excès de paquets ARP non justifiés peut correspondre à une attaque. Comme par exemple la technique dite « ARP Poison » qui consiste à usurper l’adresse IP d’une autre machine.

Pourquoi Omnipeek est plus efficace ?

Les raisons de l’efficacité d’Omnipeek sont nombreuses car le logiciel vous permet de travailler plus rapidement et plus simplement. Pour l’analyse des trames ARP on peut noter :

1. Un affichage direct du pourcentage ARP dans le trafic réseau,
2. L’affichage séparé des ARP request et des ARP responses,
3. La sélection d’un clic de l’ensemble des paquets ARP pour une analyse détaillée,
4. L’identification rapide des postes qui émettent des ARP,
5. L’identification rapide des adresses IP interrogées.

Identification directe du pourcentage de trafic des requêtes ARP – Clic pour agrandir 

1 – Le pourcentage d’ARP dans le réseau est directement visible depuis la section Dashboard / Network

2 – L’affichage séparé des 2 types de paquets ARP est visible dans la section Statistiques / Protocoles.

Les ARP request et ARP response sont visibles séparément dans les statistiques 

 

Pour identifier rapidement quel poste émet un grand nombre de paquets ARP, il suffit d’isoler les paquets ARP dans un nouvel onglet d’Omnipeek.

3 – Cliquer droit sur la ligne ARP puis Select Related Paquets puis Copy selected paquet to a new Windows.

4 – Puis de sélectionner la section Nodes toujours dans les Statistiques. Les postes sont triés : celui qui envoie le plus de paquets ARP est au début.

Identification directe de l’émetteur des requêtes ARP – Clic pour agrandir 

 

Pour identifier simplement les adresses IP qui sont testées avec ARP, il suffit de faire un clic droit sur le poste de la première ligne de la section Nodes puis d’utiliser la commande Select Related Paquets puis By source or destination et de copier ces trames dans une nouvelle fenêtre.

5 – La colonne Summary affichera directement les adresses IP cibles.

Identification directe des IP cibles des requêtes ARP – Clic pour agrandir 

 

Découvrez comment réaliser l’analyse des paquets ARP dans cette vidéo de 3:42 minutes.

 

 

comme toujours …
La réponse est dans les paquets !

 

Utilisés par plus de 6.000 entreprises de toutes tailles en France et dans le monde, Omnipeek et les solutions de diagnostic réseau Savvius sont distribuées en France par NetWalker et vendues en ligne sur NetWalkerStore.

Une question ? un devis ? Contactez-nous depuis le formulaire de contact disponible ici.
Les marques citées sont déposées par leurs propriétaires respectifs.