Lire une capture comme un analyste : une conversation à la fois, de la poignée de main à la fermeture — la compétence de toute investigation.
Lire une vraie capture
En bref
Objectifs
- Suivre une conversation TCP
- Repérer poignée de main, données, fermeture
- Raconter l'histoire d'une capture
You have the theory and the tool. Now read a capture the way an analyst does: top-down, following one conversation at a time.
- Filter to a single conversation — right-click a packet and "Follow → TCP Stream".
- Find the handshake at the start: SYN, SYN-ACK, ACK.
- Watch the data flow, then the graceful close: FIN, ACK.
$ tshark -r capture.pcap -Y "http.request" -T fields -e ip.dst -e http.host
93.184.216.34 example.com
93.184.216.34 example.com
Tip
The skill is not memorising fields — it is telling a story: who spoke to whom, in what order, and where it went wrong. Every incident investigation is that skill at scale.
À retenir
- Lire une capture conversation par conversation
- Chaque flux a poignée de main, données, fermeture
- L'investigation, c'est cette histoire à grande échelle