Découvrez Pktmon : loutil de surveillance réseau intégré à Windows 10

Lors de la publication de la mise à jour de Windows 10 d'octobre 2018, Microsoft a discrètement ajouté un renifleur de paquets réseau sous la forme d'une ligne de commande intégrée appelée Pktmon à Windows 10 . Après cela, Microsoft a ajouté certaines fonctionnalités à cet outil pour faciliter son utilisation par les utilisateurs.

Un traceur de paquets, ou analyseur de réseau, est un programme qui vous permet de surveiller le trafic réseau passant par les périphériques réseau de votre ordinateur jusqu'au niveau des paquets individuels.

Pktmon : l'outil de surveillance réseau intégré à Windows 10

Lors de sa première sortie, Pktmon ne prenait en charge que le format ETL (Event Trace Log), un format de journal propriétaire créé par Microsoft. Plus tard, Microsoft a ajouté la prise en charge des fichiers journaux PCAPNG et la surveillance en temps réel, que nous découvrirons dans cet article.

Pour utiliser Pktmon, vous devez lancer l'invite de commande avec les droits d'administrateur sous Windows 10, car le programme nécessite des droits d'administrateur. Pour recevoir des instructions sur la façon d'utiliser le programme, entrez pktmon help dans l'invite de commande .

documentation d'aide pktmon

Pour obtenir plus d'instructions d'aide sur une commande spécifique, entrez la commande pktmon [nom de la commande] help . Par exemple, pour afficher la documentation sur la commande "comp" , vous devez saisir :

pktmon comp help

Utilisez la commande d'aide

Vous pouvez utiliser l'aide pour consulter les instructions relatives aux sous-commandes, par exemple :

pktmon comp list help

Pour vous familiariser avec Pktmon, regarder le didacticiel est le moyen le plus utile, vous devriez donc essayer d'apprendre avant d'utiliser réellement cet outil.

• Surveillez et économisez la capacité Internet sous Windows 10

Comment utiliser l'outil de surveillance du réseau Pktmon

Par rapport à un outil de surveillance réseau doté d'une interface utilisateur graphique, il vous faudra peut-être plus de temps pour vous habituer à l'interface de ligne de commande de Pktmon.

Avant de pouvoir surveiller les paquets, vous devez d'abord créer un filtre à l'aide de la commande pktmon filter add , qui spécifie le trafic que vous souhaitez surveiller.

Par exemple, vous pouvez surveiller tout le trafic réseau sur votre réseau avec la commande :

pktmon filter add -i 192.168.1.0/24

…ou surveillez le trafic DNS avec :

pktmon filter add -t UDP -p 53

Si vous ne savez pas comment procéder, vous devez utiliser la commande pktmon filter add help pour apprendre à créer un filtre.

Dans cet article, l'auteur a créé un filtre pour surveiller le trafic DNS comme décrit ci-dessus. Pour voir les filtres que vous avez créés, entrez la commande :

pktmon filter list

Les filtres de surveillance créés sont répertoriés

Pour commencer à surveiller le trafic DNS sur toutes les interfaces réseau et afficher l'activité en temps réel, vous utiliserez la commande suivante :

pktmon start --etw -p 0 -l real-time

L'exemple ci-dessus utilise l' argument -p 0 , il capture donc l'intégralité du paquet. Vous pouvez également spécifier une interface réseau spécifique à surveiller à l'aide de l' argument -c suivi de l'ID d'index de l'interface. Pour obtenir une liste des interfaces réseau et des ID d'index (ifIndex), vous pouvez utiliser la commande :

pktmon comp list

Lorsque vous commencez à surveiller le trafic, vous verrez les paquets DNS capturés affichés en temps réel dans l'invite de commande, comme indiqué ci-dessous.

Surveillez le trafic DNS en temps réel

Pour arrêter le suivi du trafic, appuyez sur Ctrl + C . Une fois terminé, un fichier journal PktMon.etl sera créé dans le répertoire où vous avez exécuté Pktmon.

Cependant, les fichiers ETL ne constituent pas un bon choix car de nombreuses applications ne les prennent pas en charge. Vous pouvez convertir un fichier ETL en fichier PCAPNG à l'aide de la commande pktmon pcapng . Par exemple, pour convertir PktMon.etl en un fichier PCAPNG nommé PktMon.pcapng , entrez la commande suivante :

pktmon pcapng PktMon.etl -o PktMon.pcapng

Une fois le fichier journal converti au format PCANPNG, vous pouvez le charger dans un programme comme Wireshark pour obtenir des informations détaillées sur chaque requête DNS.

Analyser les journaux Pktmon avec Wireshark

Comme vous pouvez le constater, Pktmon est un outil extrêmement puissant, vous permettant d'avoir un aperçu du type de trafic circulant sur votre réseau.

• Ensemble complet d’outils de surveillance du réseau

Dans le même temps, Pktmon peut être compliqué à utiliser, vous devez donc vous familiariser avec la documentation d'aide avant d'exécuter la commande.