Verstehen, wo Netzwerkkommunikation tatsächlich landet
In Modul 5 hast du gelernt, wie Kommunikation zwischen Client und Server technisch abläuft. Jetzt wechseln wir auf die Gegenseite: Was passiert auf dem Zielsystem? Welcher Prozess nimmt eine Verbindung an, wo liegen Konfigurationen und Logs – und wie bewegt man sich auf einem Linux-System?
Ein Server ist zuerst eine Rolle
Nach dem Netzwerkpfad endet die Analyse nicht an einer IP-Adresse. Auf dem Zielsystem laufen Prozesse und Dienste, die Anfragen entgegennehmen und verarbeiten.
Server bedeutet nicht automatisch „großer Rechner“
Ein Server ist vor allem ein System oder eine Anwendung, die anderen Systemen einen Dienst bereitstellt. Ein physischer Rechner kann gleichzeitig Webserver, DNS-Server, Datenbankserver oder andere Rollen übernehmen.
EIN SYSTEM │ ├── Webdienst ├── SSH-Dienst ├── Datenbank └── weitere Prozesse
Dienst und Anwendung unterscheiden
Ein Dienst läuft häufig dauerhaft im Hintergrund und wartet auf Aufgaben oder Verbindungen. Auf Linux-Systemen werden solche Hintergrundprogramme oft als Daemons bezeichnet.
CLIENT
│
└──── Anfrage ────► SERVER
│
└── Dienst / Prozess
verarbeitet Anfrage
Beispiele sind ein SSH-Dienst für Administration oder ein Webserver, der HTTP-/HTTPS-Anfragen verarbeitet.
Lokaler Dienst oder Netzwerkdienst?
Nicht jeder Prozess ist aus dem Netzwerk erreichbar. Ein Programm kann ausschließlich lokal arbeiten oder an eine Netzwerkschnittstelle beziehungsweise Adresse gebunden sein.
LOKAL Prozess ──► nur auf dem System NETZWERK Client ──► IP : Port ──► Prozess / Dienst
Für die spätere Analyse ist deshalb wichtig: Ein laufender Prozess allein beweist noch nicht, dass dieser Prozess extern erreichbar ist.
Welcher Prozess nimmt die Verbindung an?
In Modul 5 war ein Port der logische Endpunkt eines Dienstes. Jetzt verbinden wir diese Nummer mit dem tatsächlich laufenden Prozess auf dem Zielsystem.
Prozess und PID
Ein gestartetes Programm läuft als Prozess. Das Betriebssystem weist einem Prozess eine eindeutige Prozess-ID – die PID – zu.
Programm: nginx
│
▼
laufender Prozess
PID: 1842
Mehrere Prozesse desselben Programms können gleichzeitig existieren und jeweils eigene PIDs besitzen.
Listening Socket – ein Dienst wartet
Ein Netzwerkdienst kann einen Socket öffnen und auf eingehende Verbindungen warten. Vereinfacht spricht man davon, dass ein Dienst auf einer Adresse und einem Port lauscht.
0.0.0.0:22 LISTEN sshd 0.0.0.0:443 LISTEN nginx 127.0.0.1:5432 LISTEN postgres
127.0.0.1:5432 deutet darauf hin, dass der Dienst nur lokal gebunden ist. 0.0.0.0 bedeutet vereinfacht, dass auf allen passenden IPv4-Schnittstellen gelauscht wird.Vom Client bis zum Prozess
Jetzt lässt sich die Kommunikationskette aus Modul 5 um die Serverperspektive erweitern.
CLIENT
10.20.5.17:52144
│
▼
NETZWERK
│
▼
SERVER
203.0.113.20:443
│
▼
LISTENING SOCKET
│
▼
WEBSERVER-PROZESS
PID 1842
Damit wird aus „Verbindung zu Port 443“ eine technisch präzisere Frage: Welcher Prozess war zu diesem Zeitpunkt an diesen Port gebunden?
Linux als Arbeitsumgebung verstehen
Viele Server-, Analyse- und Überwachungssysteme laufen unter Linux. Für den Einstieg müssen wir nicht alles administrieren können – aber wir müssen uns sicher orientieren können.
Das Dateisystem beginnt bei /
Linux organisiert Dateien in einem gemeinsamen Verzeichnisbaum. Der oberste Punkt heißt Root-Verzeichnis und wird als / geschrieben.
/ ├── etc Konfiguration ├── home Benutzerverzeichnisse ├── var │ └── log viele Logdateien ├── tmp temporäre Dateien ├── opt zusätzliche Software └── usr Programme und Systembestandteile
Diese Zuordnung ist bewusst vereinfacht. Entscheidend ist zunächst, dass Konfiguration, Programme und Logs an unterschiedlichen Stellen liegen können.
Dateien, Verzeichnisse und absolute Pfade
Ein Pfad beschreibt den Ort einer Datei oder eines Verzeichnisses.
/var/log/nginx/access.log / Ausgangspunkt var Verzeichnis log Unterverzeichnis nginx Unterverzeichnis access.log Datei
Ein absoluter Pfad beginnt bei /. Relative Pfade beziehen sich auf das aktuelle Arbeitsverzeichnis.
Benutzer, root und Rechte
Linux trennt Benutzer und Berechtigungen. Dateien und Prozesse laufen in einem Sicherheitskontext. Vereinfacht begegnen dir dabei die Rechte read, write und execute.
r = lesen w = schreiben x = ausführen root = besonders privilegierter Benutzer sudo = kontrolliertes Ausführen mit erhöhten Rechten
Orientieren, lesen und gezielt suchen
Die Kommandozeile wirkt am Anfang abstrakt. Für unsere Arbeit reichen zunächst wenige Befehle, mit denen sich ein System strukturiert untersuchen lässt.
Wo bin ich – und was liegt hier?
pwd aktuelles Verzeichnis anzeigen ls Inhalt eines Verzeichnisses anzeigen ls -la detaillierte Ansicht cd /pfad Verzeichnis wechseln
Diese Befehle beantworten zuerst die elementaren Fragen: Wo bin ich? und Welche Dateien oder Verzeichnisse existieren hier?
Dateien lesen und durchsuchen
cat datei.txt less datei.txt grep "Suchbegriff" datei.txt
cat gibt eine Datei direkt aus, less eignet sich zum kontrollierten Lesen größerer Inhalte und grep sucht nach passenden Textstellen.
Prozesse und Netzwerkzustand ansehen
ps aux ss -tulpn ip addr systemctl status ssh journalctl -u ssh
Diese Befehle zeigen unterschiedliche Perspektiven: laufende Prozesse, lauschende beziehungsweise verbundene Sockets, Netzwerkschnittstellen sowie den Status und protokollierte Ereignisse eines Dienstes.
Hinweis: Welche Optionen verfügbar sind und wie ein Dienst heißt, hängt vom jeweiligen Linux-System ab.
Vom laufenden Dienst zum protokollierten Ereignis
Netzwerkpakete zeigen Kommunikation auf dem Transportweg. Das Zielsystem selbst kann zusätzlich protokollieren, was ein Dienst verarbeitet oder entschieden hat.
Was ist ein Log?
Ein Log ist eine zeitlich orientierte Aufzeichnung technischer Ereignisse. Je nach Anwendung können Startvorgänge, Verbindungen, Fehler, Authentisierungen oder fachliche Aktionen protokolliert werden.
2026-09-15 10:31:05 service=ssh src=10.20.5.17 event=login_attempt user=analyst result=failed
Ein Logeintrag ist dabei immer die Perspektive des Systems oder Dienstes, der ihn erzeugt hat.
Mehrere Beobachtungspunkte – mehrere Wahrheiten?
Nein. Aber unterschiedliche Datenquellen können unterschiedliche Ausschnitte desselben Vorgangs zeigen.
NETZWERK Wireshark / PCAP → einzelne Pakete NETZWERK-METADATEN Zeek → strukturierte Verbindungen / Ereignisse SERVER Linux / Anwendungslogs → lokale Prozess- und Dienstsicht INDEX / SUCHE OpenSearch → viele Ereignisse durchsuchbar machen
Vom Server zur späteren Analyseplattform
Logs und Netzwerkdaten können gesammelt, weitergeleitet, aufbereitet und indexiert werden. Damit entsteht eine Analyseumgebung, in der sich einzelne Ereignisse über große Datenmengen hinweg finden lassen.
SERVER / SENSOR
│
├── Logs
├── Netzwerkmetadaten
└── weitere Ereignisse
│
▼
AUFBEREITUNG
│
▼
OPENSEARCH
│
▼
SUCHEN · FILTERN ·
KORRELIEREN
Damit wird sichtbar, warum Linux-Grundkenntnisse und Netzwerkverständnis keine getrennten Themen sind, sondern Teile derselben Analysekette.
Ein Ereignis aus mehreren Perspektiven lesen
Wir erweitern die Kommunikationskette aus Modul 5 um den Server und seine lokalen Spuren.
Beispiel: SSH-Verbindung
1. Client
10.20.5.17:53022
│
▼
2. TCP-Verbindung
203.0.113.20:22
│
▼
3. Linux-Server
Port 22 lauscht
│
▼
4. sshd-Prozess
PID 2117
│
▼
5. Authentisierungsversuch
│
▼
6. Logeintrag
result=failed
Netzwerkdaten können zeigen, dass eine Verbindung stattgefunden hat. Der Server kann zusätzlich zeigen, welcher Dienst sie verarbeitet und welches Ergebnis daraus entstanden ist.
Beobachtung und Schlussfolgerung trennen
BEOBACHTUNG TCP-Verbindung zu Port 22 MÖGLICHE HYPOTHESE SSH-Dienst angesprochen ZUSÄTZLICHER BELEG sshd lauscht auf Port 22 + Serverlog dokumentiert Loginversuch
Je mehr unabhängige technische Beobachtungen zusammenpassen, desto belastbarer wird die Einordnung.
Vier Aussagen, die auf Servern und Linux-Systemen zu kurz greifen
Öffne alle vier Karten. Sie verbinden Netzwerkverständnis mit der neuen Serverperspektive.
Verfolge eine Verbindung bis zur späteren Analyse
Klicke dich durch alle Schritte. Das Modell verbindet Netzwerk, Linux und unsere späteren Analysewerkzeuge.
Server, Linux und Beobachtungspunkte sicher zuordnen
Ordne die Aussagen den passenden Begriffen oder Werkzeugen zu. Alle acht Zuordnungen müssen korrekt sein.
Prozess und Netzwerkdienst
Linux-Dateisystem
Shell
Beobachtung
Wissenscheck – Modul 6
Für den vollständigen Modulabschluss müssen alle zwölf Antworten korrekt sein.
Aus Netzwerkkommunikation wird ein analysierbares Systemereignis
Nach Modul 5 konntest du einen Datenfluss zwischen Client und Server technisch lesen. Nach Modul 6 kannst du diesen Vorgang nun bis auf das Zielsystem verfolgen: Port → Socket → Prozess → Dienst → Log.
Im nächsten Schritt kann Linux nun praktisch vertieft werden: Navigation, Dateien, Prozesse, Netzwerkbefehle und Logs werden nicht mehr nur erklärt, sondern in kleinen realistischen Analyseaufgaben angewendet.