Netzwerk- und Speicherforensik

Netzwerkforensik erfasst und analysiert Netzwerkverkehr, um die Kommunikation von Angreifern zu rekonstruieren, laterale Bewegungen zu erkennen und Datenexfiltration aufzudecken. Im Gegensatz zur Endpoint-Forensik, bei der Beweise untersucht werden, die auf einem kompromittierten Host manipuliert worden sein könnten, lassen sich Netzwerkbeweise nachträglich schwerer durch Angreifer verändern – sie können Pakete, die bereits von einem Network Tap oder einem System zur Überwachung von Datenflüssen erfasst wurden, nicht rückwirkend löschen. Netzwerkforensik ergänzt die Endpoint-Forensik und ermöglicht so ein vollständiges Bild des Angriffs.

Paketerfassung (PCAP) zeichnet den gesamten Netzwerkverkehr auf Paketebene auf, einschließlich des vollständigen Payload-Inhalts. Zu den Tools gehören Wireshark (GUI-basiert und weit verbreitet), tcpdump (Kommandozeile und skriptfähig) und Zeek (früher Bro; erstellt aus PCAP-Dateien Protokolle auf Protokollebene). Die vollständige Paketerfassung benötigt viel Speicherplatz; in Hochgeschwindigkeitsnetzwerken können speziell dafür entwickelte Capture-Appliances erforderlich sein. Die PCAP-Analyse kann Folgendes aufdecken: Zugangsdaten in Klartextprotokollen, Muster von C2-Beacons, exfiltrierte Daten und Verbindungen für laterale Bewegungen.

NetFlow (und sein Open-Source-Äquivalent IPFIX) zeichnet Metadaten über Netzwerkkommunikation auf, ohne den Payload-Inhalt zu erfassen: Quell- und Ziel-IP, Quell- und Zielport, Protokoll, Byteanzahl, Paketanzahl und Zeitstempel. NetFlow benötigt deutlich weniger Speicherplatz als eine vollständige PCAP-Aufzeichnung und eignet sich für die langfristige Aufbewahrung (90–365 Tage). Bei forensischen Untersuchungen kann NetFlow Folgendes ermitteln: welche Systeme während des relevanten Vorfallszeitraums miteinander kommuniziert haben, Datenexfiltration (große Mengen ausgehender Bytes) und C2-Beacons (regelmäßige kleine Verbindungen zu externen IPs).

DNS-Abfrageprotokolle sind eine wichtige forensische Quelle, da die meisten C2-Kommunikationen und Malware-Downloads eine DNS-Auflösung erfordern. Zu den Indikatoren für bösartige DNS-Aktivitäten gehören: Abfragen an neu registrierte Domains oder Domains mit schlechtem Ruf, eine hohe Anzahl von Abfragen an eine einzelne Domain (DGA-Malware, die viele generierte Namen ausprobiert), DNS-Tunneling (ungewöhnlich lange oder besonders entropiereiche Subdomain-Namen zur Datenexfiltration) sowie Abfragen an Domains, die bekannten Malware-Familien zugeordnet sind. DNS wird häufig protokolliert, selbst wenn die Untersuchung des HTTP-Verkehrs eingeschränkt ist.

Command-and-Control-Kanäle (C2) zwischen von Angreifern kontrollierten Servern und kompromittierten Systemen weisen charakteristische Muster auf. Beaconing erzeugt regelmäßige periodische Verbindungen (z. B. alle 30 Sekunden), die in NetFlow als viele kleine Pakete an dieselbe externe IP-Adresse in regelmäßigen Abständen erkennbar sind. Jitter fügt den Beacon-Intervallen eine zufällige Abweichung hinzu, um die Erkennung zu umgehen. Analysten suchen nach statistischen Regelmäßigkeiten bei den Verbindungszeitpunkten, um Beaconing aus dem Grundrauschen des normalen Webverkehrs herauszufiltern.

Speicherforensik analysiert RAM-Abbilder, um Beweise für bösartige Aktivitäten zu extrahieren, die möglicherweise nicht auf der Festplatte vorhanden sind. Das Volatility Framework (Open Source) ist das branchenübliche Tool für die Speicheranalyse. Zu den wichtigsten Funktionen gehören: das Auflisten laufender Prozesse und ihrer Eltern-Kind-Beziehungen, das Erkennen eingeschleusten Codes in legitimen Prozessen, das Extrahieren zum Zeitpunkt der Erfassung bestehender Netzwerkverbindungen, das Wiederherstellen von Inhalten aus Registrierungsstrukturen aus dem Speicher und das Extrahieren im RAM gehaltener Verschlüsselungsschlüssel.

Malware im Speicher weist bestimmte Muster auf, die von Volatility-Plugins erkannt werden. Prozessinjektion (in einen legitimen Prozess wie svchost.exe eingeschleuster Code) zeigt sich als Speicherbereiche mit Ausführungsberechtigungen in einem Prozess, der diese normalerweise nicht besitzen dürfte. Ausgehöhlte Prozesse (legitime Prozesshüllen, deren ursprünglicher Code durch bösartigen Code ersetzt wurde) weisen Inkonsistenzen zwischen dem Prozessnamen und dem tatsächlich im Speicher befindlichen Code auf. Kernel-Rootkits können Prozesse aus der Prozessliste ausblenden. Volatility kann sie jedoch erkennen, indem die Liste der laufenden Prozesse mit der Liste der rohen Prozessstrukturen des Kernels verglichen wird.

Speicherforensik ist besonders leistungsfähig bei der Wiederherstellung von Anmeldedaten. Windows speichert Anmeldedaten für Single Sign-On im Speicher des LSASS-Prozesses (Local Security Authority Subsystem Service). Tools wie Mimikatz nutzen dies aus, indem sie den LSASS-Speicher auslesen, um Klartextpasswörter und NTLM-Hashes zu extrahieren. In der Forensik kann Volatility dieselben Informationen aus einem für die Untersuchung erfassten Speicherabbild extrahieren. Dadurch wird sichtbar, welche Anmeldedaten auf dem kompromittierten System zwischengespeichert waren, was bei der Einschätzung des möglichen Umfangs lateraler Bewegungen hilft.

Die leistungsfähigste forensische Analyse kombiniert Netzwerk- und Speicherbeweise. Der Speicher zeigt, welche Prozesse ausgeführt wurden und welchen Code sie enthielten; die Netzwerkforensik zeigt, mit welchen Systemen diese Prozesse kommunizierten. Wenn ein Prozess in der Volatility-Speicheranalyse sichtbar ist, eine in PCAP erkennbare Netzwerkverbindung besitzt, eine in DNS-Protokollen als auffällig markierte Domain kontaktiert und einer externen IP in NetFlow entspricht, liefert dieses Zusammentreffen einen belastbaren Nachweis für bösartige Aktivitäten und unterstützt eine vollständige Rekonstruktion des Angriffs.

Genaue Zeitstempel sind für die Korrelation forensischer Netzwerk- und Endpoint-Beweise unerlässlich. Wenn die Uhr eines Servers gegenüber der Firewall-Uhr um 15 Minuten abweicht, führt die Korrelation von Ereignissen anhand der Zeitstempel zu falschen zeitlichen Abläufen. Die Beweiskraft forensischer Netzwerkdaten ist nur so hoch wie die Zeitsynchronisierung der Geräte, die die Protokolle erzeugen. Unternehmen müssen auf allen sicherheitsrelevanten Geräten ein einheitliches NTP (Network Time Protocol) konfigurieren und während einer Untersuchung festgestellte bekannte Zeitabweichungen dokumentieren.

Die meisten modernen C2-Kommunikationen verwenden TLS-Verschlüsselung, sodass Netzwerkforensiker den Payload-Inhalt nicht direkt lesen können. Dennoch liefert auch verschlüsselter Datenverkehr Metadaten: Muster bei den Verbindungszeitpunkten (Beaconing), Anomalien bei Zertifikaten (selbstsignierte Zertifikate aus der Infrastruktur von Angreifern, nicht übereinstimmende CN-Felder), JA3-Fingerprints (TLS-Client-Fingerprinting, mit dem sich bestimmte Malware-Familien unabhängig vom Ziel identifizieren lassen) und ungewöhnliche Merkmale des TLS-Handshakes. Tools wie Zeek extrahieren JA3-Fingerprints automatisch aus TLS-Verbindungen und ermöglichen so die Erkennung bekannter Malware, ohne den Datenverkehr zu entschlüsseln.

Testen Sie Ihr Verständnis der Konzepte aus CompTIA Security+ (SY0-701) in dieser Lektion.

In dieser Lektion haben Sie gelernt: Paketerfassungen und NetFlow liefern sich ergänzende Netzwerkbeweise – PCAP zeigt den vollständigen Inhalt, während NetFlow Metadaten in großem Maßstab erfasst, C2-Beaconing erscheint als regelmäßige periodische Verbindungen, die durch eine statistische Analyse der Verbindungszeitpunkte erkannt werden können, und das Volatility Framework analysiert RAM-Abbilder, um Prozessinjektionen zu erkennen, Netzwerkverbindungen zu extrahieren und in legitimen Prozessen verborgene Malware zu identifizieren. Herzlichen Glückwunsch zum Abschluss der Forensik-Module – als Nächstes folgen Risikomanagement und Sicherheitsframeworks.