pcaptriage

Triage automatique de captures reseau, construit au-dessus de Zeek.

Wireshark est manuel : tu ouvres un pcap et tu cherches toi-meme. pcaptriage fait l'inverse. Il laisse Zeek parser les protocoles, puis il applique une couche de triage : il detecte des comportements suspects, les mappe sur MITRE ATT&CK, et sort un rapport HTML priorise plus un JSON automatisable. Pensé pour traiter un pcap (ou un dossier entier) en une commande et rendre un verdict lisible, pas pour remplacer le decodeur de Wireshark.

Exemple de rapport : un recit d'attaque (les hotes qui traversent plusieurs phases de la kill chain) au-dessus des findings priorises et mappes MITRE ATT&CK.

Ce qui le distingue de Zeek / Suricata

Zeek et Suricata produisent des evenements. pcaptriage ajoute la couche qu'ils ne font pas : il correle les findings par hote et les ordonne le long d'une kill chain simplifiee (Reconnaissance -> Credential Access -> C2 -> Exfiltration). Un hote qui apparait dans plusieurs phases est signale comme chaine de compromission probable. C'est le passage de "voici des evenements" a "voici l'histoire".

Ce qu'il detecte

Prerequis

• Python 3.9+ (teste sur 3.14). Aucune dependance pip, stdlib uniquement.
• Zeek, au choix :
  • local : zeek dans le PATH ;
  • Docker (recommande sur Kali, ou le paquet .deb casse la libc) :

    docker pull zeek/zeek:lts
    

Installation

# depuis PyPI (recommande)
pip install pcaptriage
# ou, pour une commande systeme isolee
pipx install pcaptriage

# en developpement, depuis une copie locale
pip install -e .

Une fois installe, la commande pcaptriage est disponible. Sans installation, tout marche aussi via python3 -m pcaptriage.

Usage

# un seul pcap, Zeek via Docker
pcaptriage capture.pcap --docker

# un dossier entier de captures
python3 -m pcaptriage ./captures/ --docker -o resultats/

# Zeek installe en local
python3 -m pcaptriage capture.pcap

Sortie, par capture, dans le dossier -o (defaut pcaptriage-report/) :

pcaptriage-report/
  <nom-capture>/
    report.html      <- rapport lisible (clair/sombre), findings prioritises
    findings.json    <- meme contenu, automatisable (injectable dans un SIEM)
    zeek-logs/       <- logs Zeek bruts (conn/dns/http/ssl/...)

Architecture

pcap --> Zeek (parsing) --> *.log JSON --> loader --> detections --> findings
                                                          |             |
                                                      MITRE map     report HTML + JSON

• zeek_runner.py lance Zeek (local ou Docker) et produit les logs JSON.
• loader.py charge les logs en memoire.
• detections/ : une detection = une fonction decoree @register qui prend les logs et renvoie des Finding. Ajouter une detection = ajouter un fichier.
• mitre.py : table technique -> (nom, lien).
• report.py : resume de la capture + rendu HTML autonome.
• cli.py : orchestration, mode fichier ou dossier.

Feuille de route

• ARP spoofing / MITM, LLMNR/NBT-NS poisoning
• Extraction de fichiers (files.log) et de credentials additionnels
• Moteur de regles externes (YAML/Sigma-like) pour etendre sans coder
• Graphe de communication dans le rapport
• Sortie directe vers Elasticsearch (lien avec Mini-SOC)

Note

Outil d'analyse defensive / forensic sur des captures que tu es autorise a analyser. Les logs peuvent contenir des donnees sensibles (identifiants, hotes) : traite les sorties en consequence.