Artefakte extrahieren

Artefakte sind aussagekräftige Elemente, die in einem Mitschnitt verborgen sind: übertragene Dateien, Zugangsdaten, Bilder und Sitzungsdaten.

Durch ihre Wiederherstellung wird aus einem Strom von Paketen ein konkreter Nachweis dessen, was gesendet und gesehen wurde.

Eine einzelne Datei wird auf viele TCP-Segmente verteilt. Um sie wiederherzustellen, müssen Sie den Stream in der richtigen Reihenfolge wieder zusammensetzen.

Wireshark und spezialisierte Tools erledigen dies automatisch, wenn Sie einem Stream folgen oder Objekte exportieren.

Wireshark kann jede über HTTP übertragene Datei auflisten und sie mit einem Klick exportieren.

So können Sie heruntergeladene Dokumente, Bilder und sogar Schadsoftwareproben direkt aus dem Mitschnitt wiederherstellen.

Protokolle wie HTTP, FTP und Telnet übertragen Zugangsdaten im Klartext. Wenn Sie dem Stream folgen, werden Benutzernamen und Passwörter direkt sichtbar.

Das zeigt genau, warum diese Protokolle in nicht vertrauenswürdigen Netzwerken gefährlich sind.

Anzeigefilter machen Authentifizierungsdaten schnell sichtbar, sodass Sie nicht manuell danach suchen müssen.

Filtern Sie nach Anmeldeformularen, Basic-Auth-Headern und bekannten Protokollen für Zugangsdaten.

Die HTTP-Basic-Authentifizierung sendet Zugangsdaten Base64-codiert, nicht verschlüsselt. Durch das Dekodieren des Headers werden sie sofort sichtbar.

Base64 ist eine Codierung, keine Sicherheitsmaßnahme.

Wenn ein Protokoll nicht nativ unterstützt wird, können Sie Dateien aus rohen Bytes herauslösen, indem Sie Dateisignaturen oder Magic Numbers erkennen.

Tools wie foremost oder binwalk durchsuchen die Nutzdaten eines Mitschnitts nach diesen Markierungen.

NetworkMiner ist ein Tool zur Artefaktextraktion. Übergeben Sie ihm eine pcap-Datei, und es extrahiert automatisch Dateien, Bilder, Zugangsdaten und Hostdetails.

Es eignet sich als schneller erster Durchgang, bevor Sie sich in Wireshark manuell in die Details vertiefen.

Wiederhergestellte Bilder können zeigen, was ein Benutzer angesehen oder hochgeladen hat. Sowohl Wiresharks Export Objects als auch NetworkMiner setzen Bilder aus Web- und E-Mail-Datenverkehr wieder zusammen.

Ihre Betrachtung kann direkt belegen, welche Daten das Netzwerk verlassen haben.

Wenn der Datenverkehr per TLS verschlüsselt ist, können Sie ohne die Sitzungsschlüssel keine Artefakte extrahieren. Mit einer Key-Log-Datei können Sie den Datenverkehr entschlüsseln und anschließend wie gewohnt extrahieren.

Ohne Schlüssel schützt die Verschlüsselung die Nutzdaten – genau das ist der Zweck von HTTPS.

Extrahierte Artefakte können zu Beweismitteln werden. Erstellen Sie für jede Datei einen Hash, dokumentieren Sie, wo und wann sie wiederhergestellt wurde, und speichern Sie sie unverändert.

Eine dokumentierte Beweiskette sorgt dafür, dass Ihre Erkenntnisse glaubwürdig und als Beweismittel zulässig bleiben.

Testen Sie Ihr Verständnis der Artefaktextraktion.

Sie haben gelernt, Artefakte aus Mitschnitten zu extrahieren.

• Setzen Sie TCP-Streams wieder zusammen, um Dateien wiederherzustellen.
• Exportieren Sie HTTP Objects; folgen Sie Streams, um Zugangsdaten im Klartext zu finden.
• Basic Auth verwendet Base64, nicht Verschlüsselung.
• Lösen Sie Dateien anhand von Magic Numbers heraus; verwenden Sie NetworkMiner für eine schnelle Extraktion.
• Entschlüsseln Sie TLS nur mit Sitzungsschlüsseln und führen Sie eine Beweiskette.

Sie haben den Kurs zur Netzwerkanalyse abgeschlossen.