NetScope

Plateforme d'enquête et de réponse réseau, conçue pour fonctionner hors ligne, pour Windows.

NetScope est une application de bureau destinée aux analystes en cybersécurité, aux répondants aux incidents et aux joueurs de CTF. Elle prend une capture de paquets (.pcap / .pcapng) ou une interface en direct et la transforme en une enquête complète et fondée sur des preuves — verdict, récit d'attaque, indicateurs de compromission, butin extrait et actions de réponse en un clic — entièrement sur votre machine, sans service cloud ni API payante.

---

Pourquoi NetScope

Vous pouvez obtenir la plupart de cela manuellement avec Wireshark, Suricata et quelques scripts — le rôle de NetScope est d'effectuer cette corrélation automatiquement, en une seule passe, sans rien envoyer hors de votre machine :

• Un verdict, pas quinze onglets. NetScope corrèle l'analyse protocolaire, la correspondance d'IOC et la détection d'anomalies en un seul récit d'attaque, au lieu de vous obliger à recouper manuellement la sortie de tshark, les alertes Suricata et les flux d'IOC.
• Zéro cloud, zéro clé API. Pas de clé VirusTotal, pas d'envoi vers le cloud, rien ne quitte votre machine — c'est important lorsque vous traitez un incident en cours ou la capture d'un client.
• Gratuit, pas une « offre gratuite » limitée. Pas de backend payant, pas de limites d'utilisation, pas de licence.
• Réponse, pas seulement analyse. Les règles de pare-feu, la terminaison de processus et la capture mémoire sont intégrées — la plupart des analyseurs gratuits s'arrêtent à « voici ce qui s'est passé », NetScope vous aide aussi à agir.

---

Captures d'écran

Reconstruction de flux avec bandeau de verdict en direct — une session FTP reconstituée à partir de la capture, des identifiants en clair exposés, et l'enrichissement tshark + Suricata appliqué automatiquement par-dessus :

L'onglet Butin — identifiants, hashs, clés et jetons extraits de la capture, chacun copiable en un clic :

---

Téléchargement

Les binaires Windows précompilés sont fournis avec chaque version :

→ Télécharger la dernière version

Fichier	Ce que c'est
NetScope-Setup-<version>.exe	Installateur. Crée des raccourcis dans le menu Démarrer et sur le bureau. Recommandé.
NetScope-Portable-<version>.exe	Exécutable portable unique. Aucune installation — lancez-le simplement.
NetScope-<version>-win.zip	Dossier d'application compressé. Décompressez et exécutez NetScope.exe.

Les instructions complètes d'installation et d'exécution — y compris à partir des sources — se trouvent dans INSTALL.md.

NetScope demande les droits administrateur au lancement. L'élévation de privilèges est requise pour ses actions de réponse (règles de pare-feu hôte, terminaison de processus, capture mémoire). Vous verrez une seule invite UAC Windows au démarrage.

---

Ce qu'il fait

NetScope a deux points d'entrée qui alimentent le même moteur d'analyse :

• Analyse PCAP hors ligne — ouvrez une capture et obtenez une analyse forensique complète.
• Surveillance en direct — capture depuis une interface locale (via dumpcap) et analyse de la même manière, avec surveillance ARP en direct et défense DNS.

Tout s'exécute localement. Le parseur et l'analyseur sont en TypeScript pur et ne nécessitent aucun outil externe ; lorsque des outils gratuits tels que tshark, Suricata, Zeek ou yara sont installés, NetScope superpose automatiquement leurs détections par-dessus.

Surface d'investigation

• Vue d'ensemble — un verdict central, les métriques clés, le récit d'attaque reconstitué, les preuves principales et les prochaines étapes recommandées.
• Menaces et détections — résultats corrélés avec sévérité, correspondance de techniques MITRE ATT&CK, et moteur de signature de chaîne d'attaque (exploits CVE, shells inversés, outils offensifs).
• Forensique protocolaire — HTTP (user-agent, Log4j), DNS (analyse de transactions, reconstruction de tunneling et d'exfiltration avec auto-décodage), TLS (empreintes JA3/JA4 confrontées à une base hors ligne de familles de malwares), SMB, FTP, SMTP/MIME, DHCP, NBNS, Kerberos, ICMP, ARP.
• Hôtes — inventaire construit à partir de DHCP / NBNS / Kerberos, avec empreinte OS.
• Butin — identifiants extraits, hashs NTLM / NetNTLMv2 (prêts pour hashcat), flags, clés API et JWT, avec indices de cassage.
• Anomalies — beaconing, canaux à haute entropie, asymétrie de trafic, user-agents rares et crypto faible, classés.
• Analyse temporelle — empreinte rythmique, reconstruction de sessions inter-protocoles, dérive d'horloge par timestamp TCP (détection NAT / multi-hôtes) et dérive d'empreinte OS.
• Renseignements — indicateurs connus comme malveillants issus de flux hors ligne gratuits (abuse.ch, FireHOL, Tor).
• Géo / Exfiltration — répartition par pays GeoIP hors ligne et carte mondiale des points de terminaison.
• Pivot des protocoles — arbre hiérarchique des protocoles avec répartition par port et service.
• Établi — un banc de transformation / décodage / script pour des artefacts arbitraires, incluant un désobfuscateur et un parseur PE.
• Reconstruction de flux — suivi de flux TCP/UDP, carving et extraction de fichiers, reconstruction ZIP et multi-parties.
• Comparer — comparez une capture à une référence sauvegardée.

Réponse

• Création de règles de pare-feu hôte, terminaison de processus et capture mémoire (avec élévation de privilèges).
• Export d'indicateurs en STIX 2.1 / CSV / Sigma.
• Génération de rapports d'incident en Markdown et HTML.
• Gestion de cas locale : notes, tags, marque-pages et statut, persistés sur disque.

---

Installation et exécution

Consultez INSTALL.md pour le guide complet. La version courte :

Utiliser l'application : téléchargez l'installateur ou la version portable depuis la page des versions et exécutez-le.

Exécuter à partir des sources :

npm install
npm run dev

Compiler vos propres binaires Windows :

npm run build:win

Les artefacts sont écrits dans release/.

---

Démarrage rapide

1. Ouvrez NetScope et déposez un fichier .pcap / .pcapng, ou sélectionnez une interface en direct à partir de laquelle capturer.
2. NetScope analyse la capture et affiche un verdict dans l'onglet Vue d'ensemble — sévérité, récit d'attaque reconstitué et preuves principales.
3. Explorez Menaces, Forensique protocolaire ou Butin pour obtenir les détails à l'appui de ce verdict.

(Un court enregistrement vidéo de ce flux sera ajouté ici.)

---

Architecture

NetScope est une application Electron avec une frontière de processus stricte.