Netzwerkforensik mit Wireshark

Die Netzwerkforensik analysiert aufgezeichnete Paketdaten (PCAP-Dateien), um Aktivitäten von Angreifern auf Netzwerkebene zu rekonstruieren: laterale Bewegung, C2-Kommunikation, Diebstahl von Zugangsdaten, Datenexfiltration und Protokollanomalien, die bei hostbasierter Forensik unsichtbar bleiben.

Erfassen Sie Netzwerkbeweismittel mit Wireshark (interaktiv), tcpdump (CLI) oder dedizierten Netzwerk-Taps. Richten Sie Span-Ports oder Netzwerk-Taps in kritischen Segmenten ein, bevor Vorfälle auftreten. Eine nachträgliche Analyse setzt eine bereits vorhandene Infrastruktur zur Aufzeichnung voraus.

Anzeigefilter schränken die Analyse ein: http zeigt HTTP, tcp.port==443 HTTPS, ip.addr==10.0.0.5 einen bestimmten Host, dns Namensabfragen und tcp.flags.syn==1 && tcp.flags.ack==0 ausschließlich SYN-Pakete (Erkennung eines Port-Scans).

Klicken Sie mit der rechten Maustaste auf ein Paket und wählen Sie → Follow → TCP Stream, um die vollständige Kommunikation in lesbarer Form zu rekonstruieren. Bei HTTP werden dadurch vollständige Anfrage- und Antwort-Bodys angezeigt – hilfreich zur Rekonstruktion exfiltrierter Daten oder von C2-Befehlen.

C2-Beaconing zeigt sich als regelmäßige, periodische Verbindungen zu derselben externen IP. Wenden Sie ip.dst == [suspicious_ip] an und prüfen Sie die Zeitabstände der Frames – konsistente Intervalle (alle 60, 300 oder 600 Sekunden) bei kleinen Datenmengen sind charakteristisch für Beacon-Verhalten.

DNS-Abfragen geben Aufschluss über C2-Domains, Muster von Domain-Generierungsalgorithmen (DGA) und DNS-Tunneling. Domainnamen mit hoher Entropie (z. B. a1b2c3d4e5f6.evil.com), ungewöhnliche Abfragen von TXT-Einträgen und ungewöhnlich große DNS-Antworten weisen auf C2 oder Datenexfiltration über DNS hin.

Klartextprotokolle (HTTP, FTP, SMTP, LDAP, Telnet) übertragen Zugangsdaten im Klartext, sodass sie in Paketaufzeichnungen sichtbar sind. Filtern Sie mit http contains "password" oder ftp contains "PASS", um die Offenlegung von Zugangsdaten im Zeitraum des Vorfalls zu identifizieren.

Verschlüsselter TLS-Datenverkehr kann ohne private Schlüssel oder Pre-Master-Secrets nicht entschlüsselt werden. Dennoch gilt: JA3-Fingerprints identifizieren TLS-Clientbibliotheken (Malware weist charakteristische JA3-Hashes auf), die Subject Alternative Names von Zertifikaten geben Aufschluss über die C2-Infrastruktur und der zeitliche Verlauf des Datenverkehrs bleibt sichtbar.

Anzeichen für Exfiltration: große ausgehende Datenübertragungen zu ungewöhnlichen Zielen, HTTP-POST-Anfragen mit Base64-codierten Bodys, ungewöhnlich große DNS-Antworten (DNS-Tunneling), ICMP-Pakete mit großen Nutzdaten und ausgehender Datenverkehr außerhalb der Geschäftszeiten.

NetworkMiner rekonstruiert passiv übertragene Dateien aus PCAPs – Bilder, Dokumente und ausführbare Dateien, die über HTTP oder SMB übertragen wurden, erscheinen als extrahierbare Dateien. Außerdem extrahiert das Tool automatisch Zugangsdaten, Zertifikate und Nachrichten aus aufgezeichnetem Datenverkehr.

Extrahieren Sie die Zeitstempel wichtiger Netzwerkereignisse: erste Verbindung zum C2, Übertragung von Zugangsdaten, laterale Bewegung (Authentifizierungsversuche bei internen Hosts) sowie Daten-Staging und Exfiltration. Diese Netzwerkzeitstempel lassen sich mit hostbasierten Artefakten korrelieren, um die vollständige Incident-Timeline zu erstellen.

Welcher Wireshark-Anzeigefilter zeigt ausschließlich HTTP-Datenverkehr an?

Die Netzwerkforensik mit Wireshark rekonstruiert die Netzwerkaktivitäten von Angreifern anhand von PCAP-Beweismitteln. Die Erkennung von C2-Beaconing, die DNS-Analyse auf Tunneling, der Diebstahl von Zugangsdaten in Klartextprotokollen, TLS-JA3-Fingerprinting und die Erkennung von Mustern der Datenexfiltration machen gemeinsam Beweismittel des Angriffs auf Netzwerkebene sichtbar.