Protokolle lesen

Netzwerkverkehr ist in Ebenen organisiert. Jedes Paket kapselt ein Protokoll einer höheren Ebene in einem Protokoll einer niedrigeren Ebene – wie Umschläge in Umschlägen.

Beim Lesen des Datenverkehrs müssen Sie diese Ebenen in der richtigen Reihenfolge Schicht für Schicht abtragen.

Eine TCP-Verbindung beginnt mit einem Drei-Wege-Handshake: SYN, SYN-ACK, ACK. Wenn Sie ihn sehen, bestätigt das, dass eine tatsächliche Verbindung hergestellt wurde.

Ein SYN ohne Antwort durch SYN-ACK deutet häufig auf einen geschlossenen Port oder auf das Verwerfen durch eine Firewall hin.

TCP-Flags geben den Verbindungszustand an. Lernen Sie die gängigen Flags kennen, um eine Kommunikation zu verfolgen.

• SYN: Start.
• ACK: Bestätigung.
• FIN: Ordnungsgemäßes Schließen.
• RST: Abruptes Zurücksetzen.

Wireshark kann einem TCP-Stream folgen, um eine Kommunikation zu lesbarem Text zusammenzusetzen, statt sie als verstreute Pakete anzuzeigen.

Klicken Sie mit der rechten Maustaste auf ein Paket und wählen Sie Follow, um die vollständige Anfrage und Antwort zusammen anzuzeigen.

HTTP-Datenverkehr besteht aus Klartext, sofern er nicht verschlüsselt ist. Sie können Methode, Pfad, Header und Inhalt direkt lesen.

Dadurch ist unverschlüsseltes HTTP eine ergiebige Quelle für Analysen – und ein Risiko für den Netzwerkbetreiber.

HTTPS kapselt HTTP in TLS, sodass die Nutzdaten verschlüsselt sind. Sie sehen weiterhin den TLS-Handshake, den SNI-Hostnamen und das Zertifikat.

Ohne Schlüssel können Sie den Inhalt nicht lesen, aber die Metadaten erzählen weiterhin eine Geschichte.

DNS-Abfragen zeigen, welche Domains ein Host zu erreichen versucht – oft noch bevor eine Verbindung hergestellt wird.

Eine Abfrage und ihre Antwort zeigen den angeforderten Namen und die aufgelöste Adresse.

DNS ist eine wahre Fundgrube für Analysten. Abfragen zu bekannten schädlichen Domains, lange zufällig wirkende Subdomains oder ein ungewöhnlich hohes Abfragevolumen deuten allesamt auf verdächtiges Verhalten hin.

Bei der Suche nach Anomalien werden wir dies intensiv nutzen.

Nicht alles läuft über TCP. UDP ist verbindungslos (und wird von DNS, DHCP und QUIC verwendet), während ICMP Steuerungsnachrichten wie Ping- und Unerreichbarkeitsfehler überträgt.

Ein ungewöhnlich hohes ICMP-Volumen kann auf Scanning oder Tunneling hindeuten.

Das Menü Statistics von Wireshark fasst einen Mitschnitt zusammen: Protokollhierarchie, Kommunikationen und Endpunkte.

Beginnen Sie die Analyse hier, um zu sehen, welche Protokolle dominieren und welche Hosts am meisten kommunizieren.

Gute Analysten entwickeln ein Bild davon, was für ein Netzwerk normal ist. Sobald Sie das Normale kennen, fallen Ihnen Anomalien sofort auf.

Das sichere Lesen von Protokollen bildet die Grundlage für alles Weitere.

Testen Sie Ihr Verständnis des Lesens von Protokollen.

Sie haben gelernt, Netzwerkprotokolle zu lesen.

• Der Datenverkehr ist geschichtet: Ethernet, IP, TCP/UDP, Anwendung.
• TCP beginnt mit SYN, SYN-ACK, ACK; Flags geben den Zustand an.
• Follow TCP Stream setzt Kommunikationen wieder zusammen.
• HTTP ist lesbar; HTTPS zeigt nur TLS-Metadaten und SNI.
• DNS zeigt die Ziele; verwenden Sie Statistics, um das normale Verhalten zu ermitteln.

Als Nächstes erkennen Sie Anomalien und schädlichen Datenverkehr.