Convertisseur en ligne gratuit de PCAP en CSV

Un tableur, un système de génération de rapports ou un script peut nécessiter le trafic capturé sous forme de lignes et de colonnes plutôt que sous forme de trace de paquets binaire. La conversion de la capture au format CSV extrait certains champs afin de permettre le filtrage, la modification, le partage ou l’importation dans Excel, LibreOffice Calc, Python, R ou une base de données.

Qu’est-ce que le format PCAP ?

PCAP est un format binaire de capture réseau qui stocke les enregistrements de paquets, les horodatages, les longueurs capturées et originales, un type de couche liaison, ainsi que les octets capturés lorsqu’ils sont disponibles. Ces octets peuvent contenir des données de liaison, de réseau, de transport et d’application, selon le point de capture et la longueur maximale de capture.

Wireshark, TShark, tcpdump, dumpcap, les appliances de surveillance et les systèmes de détection d’intrusion peuvent créer ou écrire des fichiers PCAP. Les analystes réseau utilisent les captures pour le dépannage, l’analyse des protocoles, les investigations de performances, la réponse aux incidents et la préservation des preuves. Le format associé PCAPNG peut également stocker plusieurs interfaces, des commentaires, des données de résolution de noms et d’autres métadonnées de capture ; les versions actuelles de Wireshark et TShark lisent généralement les deux formats.

Les captures peuvent contenir des identifiants, des cookies, des adresses IP, des messages et d’autres charges utiles confidentielles. Traitez une capture non assainie comme une preuve sensible.

Qu’est-ce que le format CSV ?

CSV est un format texte brut organisé en enregistrements et en champs, généralement avec un enregistrement par ligne et des virgules pour séparer les champs. Les guillemets permettent de gérer les virgules, les guillemets et les autres caractères présents dans les valeurs des champs, mais CSV ne possède aucune norme universelle concernant le délimiteur, l’encodage ou le type de données.

Un CSV de synthèse des paquets peut contenir le numéro de trame, l’horodatage, les adresses source et destination, les ports, le protocole et les longueurs des paquets. Ces colonnes sont pratiques pour le tri, le filtrage, le comptage, la création de graphiques et l’importation dans une base de données, et le résultat est souvent bien plus petit que la capture originale. CSV ne conserve pas les octets complets des paquets, la hiérarchie des protocoles, l’état de réassemblage, les métadonnées de capture, les commentaires ni les détails d’analyse qui n’ont pas été explicitement exportés.

Utilisation de TShark

TShark est l’analyseur en ligne de commande de Wireshark et permet de contrôler précisément et de manière reproductible les colonnes exportées. Installez Wireshark ou installez le paquet TShark fourni par votre système d’exploitation. Exécutez la commande depuis un terminal ouvert dans le répertoire contenant la capture :

tshark -r capture.pcap -n -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e ipv6.src -e ipv6.dst -e tcp.srcport -e tcp.dstport -e udp.srcport -e udp.dstport -e _ws.col.Protocol -e frame.len -e frame.cap_len > packets.csv

-r lit l’entrée, -n désactive la résolution de noms et -T fields écrit uniquement les champs demandés. Les options -E ajoutent un en-tête, sélectionnent les virgules, entourent les valeurs de guillemets doubles et conservent la première valeur lorsqu’un champ apparaît plusieurs fois. frame.len correspond à la longueur originale sur le réseau ; frame.cap_len correspond au nombre d’octets capturés. Remplacez capture.pcap par un nom de fichier .pcapng si nécessaire.

Les champs qui ne s’appliquent pas à un paquet restent vides. Par exemple, les adresses IP sont absentes du trafic non-IP et les ports TCP sont absents des paquets UDP, ICMP et des autres protocoles. Ajoutez des champs propres aux protocoles avec des options -e supplémentaires, tels que dns.qry.name, http.request.method, tls.handshake.extensions_server_name ou tcp.stream. Utilisez tshark -G fields pour examiner les noms de champs pris en charge par la version installée.

Pour exporter uniquement les paquets correspondant à un filtre d’affichage Wireshark, ajoutez -Y :

tshark -r capture.pcap -n -Y "dns or tcp.port == 443" -T fields -E header=y -E separator=, -E quote=d -E occurrence=f -e frame.number -e frame.time_epoch -e ip.src -e ip.dst -e _ws.col.Protocol -e frame.len > filtered.csv

Utilisez une syntaxe de guillemets adaptée au shell sous Windows ou un autre système d’exploitation si le filtre contient des caractères spéciaux. TShark est préférable pour les fichiers volumineux, les exportations reproductibles et les scripts, car le schéma est explicite.

Utilisation de Wireshark

1. Ouvrez le fichier PCAP ou PCAPNG avec File → Open.
2. Saisissez un filtre d’affichage tel que dns, http, ip.addr == 192.0.2.10 ou tcp.port == 443.
3. Configurez les colonnes de la liste des paquets via Edit → Preferences → Appearance → Columns si les colonnes par défaut ne suffisent pas. Ajoutez des champs tels que le numéro du paquet, l’heure, la source, la destination, le protocole et la longueur.
4. Choisissez File → Export Packet Dissections → As CSV. Dans la boîte de dialogue d’exportation, sélectionnez les paquets affichés si le filtre doit limiter la sortie.
5. Enregistrez le fichier avec une extension .csv et examinez-le dans un éditeur de texte ou lors d’une importation contrôlée avant de l’utiliser.

L’exportation graphique de Wireshark convient à une synthèse ponctuelle de la liste des paquets. Sa sortie suit les colonnes de la liste des paquets et non chaque champ disséqué. Utilisez TShark lorsqu’une sélection précise des champs ou un traitement par lots reproductible est nécessaire.

Utilisation du convertisseur en ligne intégré

Vous pouvez convertir gratuitement le fichier sur 101convert.com sans installer de logiciel : téléversez le fichier PCAP ou PCAPNG, choisissez CSV, démarrez la conversion, puis téléchargez le résultat. 

Limites de qualité et de compatibilité

• Une longueur maximale de capture courte peut ne laisser que les en-têtes ou des charges utiles partielles dans la capture. CSV ne peut pas restaurer les octets qui n’ont jamais été capturés.
• Le chiffrement laisse généralement disponibles les adresses, les ports, les horodatages et les métadonnées de protocole, mais pas le contenu applicatif déchiffré.
• Les champs répétés nécessitent une décision concernant le schéma. -E occurrence=f conserve la première valeur ; d’autres paramètres d’occurrence peuvent créer des valeurs répétées ou jointes par un séparateur qui ne correspondent pas à une simple colonne de base de données.
• frame.time_epoch conserve un horodatage Unix numérique et les fractions de seconde de manière plus fiable qu’une heure formatée selon les paramètres régionaux. Conservez-le lorsque l’ordre des événements est important.
• Les logiciels de tableur peuvent réinterpréter les horodatages, les entiers longs, les adresses IP et les valeurs comportant des zéros initiaux. Importez les colonnes avec des types texte, entier ou date explicites lorsque l’exactitude des valeurs est importante.
• Les captures volumineuses peuvent produire des millions de lignes et dépasser les limites de lignes des tableurs. Filtrez avant l’exportation ou chargez le CSV dans une base de données, Python, R ou un autre outil de traitement des données.
• Conservez le PCAP ou PCAPNG original comme source de l’analyse. CSV est une synthèse dérivée et ne suffit pas pour réanalyser les paquets de manière fiable.