Cyberange-4 est un petit réseau d'entreprise reconstitué exprès pour être observé, attaqué et défendu
sans risque : aucune des machines qui le composent n'a de valeur réelle, aucune donnée qui y circule n'est
une vraie donnée personnelle, et tout ce qui s'y passe reste enfermé dans ce réseau isolé.
Le principe : plutôt que de lire ce qu'est une injection SQL ou un mot de passe intercepté en
clair, tu vas les voir passer sur le fil, comme le ferait n'importe quel outil de surveillance
réseau : Wireshark, ou la Salle de rejeu que tu utiliseras pendant tes TP.
2. Ce que tu vas apprendre
Faire la différence, en le voyant vraiment, entre un protocole qui protège ce qui transite
(chiffré) et un protocole qui ne protège rien (en clair).
Reconnaître, dans un flux de paquets, la signature d'un scan de ports, d'un brute-force, d'une
injection SQL ou d'un déni de service, sans qu'on te dise où regarder.
Utiliser Wireshark (ou son équivalent simplifié dans la Salle de rejeu) pour isoler une conversation
précise au milieu de milliers d'autres paquets.
Comprendre pourquoi une mesure de défense (chiffrement, limitation de débit, bannissement)
change ce qui est visible ou possible, et pourquoi certaines ne changent rien à ce qu'on capture.
3. Comment le labo est construit
Huit machines, réparties en trois zones :
Machine
Rôle
Firewall
Pare-feu / passerelle entre les trois zones du réseau
Superviseur
Pilote le labo (tableau de bord, démarrage/arrêt des machines, statistiques)
Serveur A
Un site web volontairement vulnérable (DVWA), utilisé pour les injections SQL
Serveur B
DNS, DHCP, FTP
Serveur C
Messagerie (email), SSH, Telnet
Client 1, Client 2
Génèrent du trafic normal, et servent de point de départ pour les attaques
Ces machines forment le « LAN » : c'est le réseau étudié, celui dont le trafic est capturé via un
port miroir (« SPAN ») du commutateur pour être analysé : c'est tout le but de son existence. Un second
réseau, la « DMZ », est réservé aux postes étudiants : ce qui s'y passe n'affecte jamais le LAN, et un
poste en DMZ ne peut pas se connecter en SSH dessus.
La DMZ n'est pas là pour capturer quoi que ce soit : c'est une zone de renseignement, où tu peux
lancer un scan Nmap léger (volontairement limité, pour ne pas surcharger le labo) afin de repérer ce qui
tourne sur le LAN, sans jamais pouvoir t'y connecter directement.
Pourquoi cette séparation ?
Elle permet à plusieurs groupes de manipuler le labo côte à côte sans se gêner, et garantit qu'une
mauvaise manipulation depuis un poste étudiant ne peut pas casser l'infrastructure centrale.
4. Cadre d'utilisation
Cyberange-4 sert à observer et analyser du trafic, pas à chercher des vulnérabilités de ta propre
initiative. Concrètement, tu te limites à deux choses : capturer sur le port SPAN, un poste à la fois,
et/ou faire du renseignement depuis la DMZ (le scan Nmap léger décrit plus haut). L'activité de la DMZ
est tracée, et tout ce que tu apprends ici ne doit jamais être reproduit en dehors de ce labo, sur un système
qui ne t'appartient pas : c'est une infraction pénale, pas une nuance technique.
Les règles complètes, à lire avant ta première séance
L'ensemble du cadre d'utilisation, les sanctions encourues en cas de manquement et l'engagement que tu dois
signer sont détaillés dans la Charte d'usage du Cyberange-4.
C'est ce document, et non celui-ci, qui fait référence.
À l'intérieur du cadre donné en séance, tu es libre d'expérimenter : c'est fait pour ça, et rien de ce
que tu y feras n'a de conséquence à l'extérieur.
5. La Salle de rejeu
C'est la page que tu utiliseras pour tes TP d'analyse. Elle rejoue, hors ligne, une capture réseau déjà
enregistrée (une démonstration, ou l'une des captures réelles du labo) et l'analyse automatiquement.
Zone de l'écran
À quoi elle sert
Journal en direct (au centre)
Chaque échange réseau, ligne par ligne, au fur et à mesure qu'il « se produit »
Carte réseau (à droite, en haut)
Qui parle à qui, avec une pulsation sur les échanges suspects
Alertes sécurité (à droite, en bas)
Ce que l'analyse automatique a jugé notable
Sondes réseau (à gauche)
Débit, connexions actives, charge : utile pour repérer un déni de service
Barre de filtres (au-dessus du journal)
Rechercher un mot-clé, une IP, un type d'événement précis
Bascules Blue Team (sous l'en-tête du journal)
Simuler l'effet d'une mesure de défense sur ce qui a été capturé
Ouvre la page, clique sur Charger la démo en haut à droite.
Mets en pause (bouton ⏸) dès que quelque chose attire ton attention.
Utilise la barre de recherche pour isoler une IP ou un protocole.
Le bouton Exporter le rapport (en bas) génère un compte-rendu HTML complet de tout ce que la
page a détecté.
Un TP dédié, construit comme une enquête à partir de cette démo, te sera fourni séparément par ton
formateur : c'est là que tu mettras vraiment la Salle de rejeu à l'épreuve.
6. Glossaire
Protocole en clair
Un protocole qui transmet son contenu sans le chiffrer : n'importe qui capturant le trafic peut le
lire directement (FTP, Telnet, HTTP, IMAP et SMTP sans STARTTLS en font partie).
STARTTLS
Une commande qui bascule une connexion initialement en clair vers une connexion chiffrée, en cours
de route. Tout ce qui est échangé après cette commande devient illisible pour qui capture le trafic.
Injection SQL (SQLi)
Une technique qui consiste à glisser du code de base de données dans un champ de saisie ou une URL,
pour que le serveur l'exécute sans le vouloir, révélant parfois des données qu'il ne devrait jamais
renvoyer.
Brute-force
Deviner un mot de passe en en essayant un grand nombre, automatiquement et rapidement, plutôt qu'en
cherchant à le connaître à l'avance.
Phishing
Se faire passer pour quelqu'un ou quelque chose de légitime (une adresse, un site) pour obtenir des
informations ou une action de la victime.
Scan de ports
Interroger systématiquement de nombreux ports d'une machine pour savoir lesquels répondent : souvent
la première étape d'une attaque, pour repérer ce qui tourne sur une cible.
Déni de service (DoS)
Rendre un service indisponible, en le submergeant de requêtes (un flood) ou en épuisant une
ressource limitée sans forcément beaucoup de trafic (comme Slowloris, qui épuise les connexions
disponibles plutôt que la bande passante).
DMZ
Une zone réseau volontairement isolée du reste de l'infrastructure, où un incident reste contenu.