Netwerkforensiek met Wireshark

Weergavefilters beperken de analyse: http toont HTTP, tcp.port==443 voor HTTPS, ip.addr==10.0.0.5 voor een specifieke host, dns voor naamquery's, tcp.flags.syn==1 && tcp.flags.ack==0 voor uitsluitend SYN-pakketten (detectie van poortscans).

Klik met de rechtermuisknop op een pakket → Volgen → TCP-stroom om de volledige communicatie in leesbare vorm te reconstrueren. Bij HTTP toont dit de volledige inhoud van verzoeken en antwoorden — nuttig voor het reconstrueren van geëxfiltreerde gegevens of C2-opdrachten.

C2-bakenverkeer ziet eruit als regelmatige, periodieke verbindingen met hetzelfde externe IP-adres. Pas ip.dst == [suspicious_ip] toe en controleer het tijdspatroon van frames — vaste intervallen (elke 60, 300 of 600 seconden) met kleine gegevensvolumes zijn kenmerkend voor bakenverkeer.

DNS-query's onthullen C2-domeinen, patronen van domeingeneratiealgoritmen (DGA) en DNS-tunneling. Domeinnamen met hoge entropie (bijvoorbeeld a1b2c3d4e5f6.evil.com), ongebruikelijke query's voor TXT-records en ongewoon grote DNS-antwoorden wijzen op C2 of gegevensonttrekking via DNS.

Protocollen zonder versleuteling (HTTP, FTP, SMTP, LDAP, Telnet) versturen inloggegevens als platte tekst die zichtbaar is in pakketopnamen. Filter met http contains "password" of ftp contains "PASS" om blootgestelde inloggegevens tijdens het incidentvenster te identificeren.

Versleuteld TLS-verkeer kan niet worden ontsleuteld zonder privésleutels of pre-master secrets. Toch geldt het volgende: JA3-vingerafdrukken identificeren TLS-clientbibliotheken (malware heeft kenmerkende JA3-hashwaarden), alternatieve certificaatnamen onthullen C2-infrastructuur en het tijdspatroon van het verkeer blijft zichtbaar.

Aanwijzingen voor gegevensonttrekking: grote uitgaande gegevensoverdrachten naar ongebruikelijke bestemmingen, HTTP POST-verzoeken met base64-gecodeerde inhoud, ongewoon grote DNS-antwoorden (DNS-tunneling), ICMP-pakketten met grote ladingen en uitgaand verkeer buiten werktijd.

NetworkMiner reconstrueert passief overgedragen bestanden uit PCAP-bestanden — afbeeldingen, documenten en uitvoerbare bestanden die via HTTP of SMB zijn overgedragen verschijnen als bestanden die kunnen worden geëxtraheerd. Het haalt ook automatisch inloggegevens, certificaten en berichten uit vastgelegd verkeer.

Haal tijdstempels van belangrijke netwerkgebeurtenissen op: de eerste verbinding met C2, het versturen van inloggegevens, laterale verplaatsing (aanmeldpogingen bij interne hosts) en het klaarzetten of exfiltreren van gegevens. Deze netwerktijdstempels correleren met artefacten op hosts om de volledige incidenttijdlijn op te bouwen.

Netwerkforensiek met Wireshark reconstrueert activiteiten van aanvallers op het netwerk aan de hand van PCAP-bewijs. Detectie van C2-bakenverkeer, DNS-analyse voor tunneling, diefstal van inloggegevens via protocollen zonder versleuteling, TLS-vingerafdrukken met JA3 en herkenning van patronen in gegevensonttrekking maken samen bewijsmateriaal van aanvallen op netwerkniveau zichtbaar.