Vom einzelnen Paket zur nachvollziehbaren Kommunikation
In Modul 10 hast du gelernt, wie Netzwerkverkehr an einem Beobachtungspunkt über TAP oder SPAN zu einer Capture Unit gelangt und als PCAP bereitgestellt werden kann. Jetzt öffnest du diese Datengrundlage erstmals systematisch in Wireshark. Du lernst, Pakete zu lesen, Kommunikation einzugrenzen, Protokolle zu erkennen und aus vielen Einzelpaketen einen verständlichen technischen Ablauf zu bilden.
Ein Werkzeug für den Blick in aufgezeichneten Netzwerkverkehr
Eine PCAP-Datei kann Tausende oder Millionen Pakete enthalten. Wireshark macht diese Daten sichtbar, strukturiert sie und hilft dir, genau diejenigen Pakete zu finden, die für deine Fragestellung relevant sind.
Was Wireshark eigentlich macht
Wireshark analysiert Netzwerkpakete und stellt ihre technischen Eigenschaften lesbar dar. Aus einer abstrakten Folge von Bytes werden Informationen wie Quell-IP, Ziel-IP, Protokoll, Ports und weitere Protokollfelder.
10.20.30.45 → 192.0.2.80
TCP
51844 → 443
Schon diese wenigen Informationen zeigen, dass das System 10.20.30.45 TCP-Kommunikation mit 192.0.2.80 unter Beteiligung von Port 443 führte.
Erfassung und Analyse sind unterschiedliche Schritte
NETZWERKVERKEHR
↓
TAP / SPAN / BEOBACHTUNGSPUNKT
↓
CAPTURE UNIT
↓
PCAP / PCAPNG
↓
WIRESHARK
↓
TECHNISCHE ANALYSE
Wireshark erzeugt bei einer nachträglichen Untersuchung den ursprünglichen Netzwerkverkehr nicht neu. Es zeigt die Pakete, die zuvor tatsächlich aufgezeichnet wurden.
PCAP als Momentaufnahme
Eine PCAP ist eine technische Aufzeichnung eines bestimmten Ausschnitts des Netzwerkverkehrs. Sie besitzt einen Zeitraum, einen Beobachtungspunkt und eine bestimmte Perspektive.
| Frage | Bedeutung |
|---|---|
| Wann? | Welcher Zeitraum wurde aufgezeichnet? |
| Wo? | An welchem Beobachtungspunkt entstand die Aufzeichnung? |
| Was? | Welche Pakete und Richtungen wurden erfasst? |
| Wie vollständig? | Gab es Filter, Paketverluste oder andere Einschränkungen? |
Drei Bereiche reichen für einen sicheren Einstieg
Die Oberfläche enthält viele Funktionen. Für eine erste Analyse musst du jedoch nur verstehen, wie Paketliste, Paketdetails und Rohdaten zusammengehören.
Die Paketliste
| Spalte | Bedeutung |
|---|---|
| No. | Laufende Nummer des Pakets innerhalb der Aufzeichnung |
| Time | Zeitpunkt oder zeitlicher Abstand |
| Source | Quelle des Pakets |
| Destination | Ziel des Pakets |
| Protocol | Von Wireshark erkanntes Protokoll |
| Length | Größe des Pakets |
| Info | Kompakte Zusammenfassung wichtiger Paketinformationen |
Eine Zeile entspricht grundsätzlich einem aufgezeichneten Paket. Viele Zeilen können gemeinsam zu derselben Verbindung gehören.
Die Paketdetails
Wählst du ein Paket aus, zerlegt Wireshark es in Protokollschichten. Dadurch begegnen dir viele Grundlagen aus den früheren Modulen erneut.
FRAME
└─ ETHERNET
└─ INTERNET PROTOCOL
└─ TRANSMISSION CONTROL PROTOCOL
└─ TLS / HTTP / DNS / ...
Du kannst einzelne Ebenen aufklappen und gezielt die Felder betrachten, die für deine Fragestellung relevant sind.
Die Rohdaten
Im unteren Bereich zeigt Wireshark die tatsächlich aufgezeichneten Bytes. Für den Einstieg musst du diese nicht manuell interpretieren. Sie machen aber deutlich, dass die sichtbaren Felder aus realen Paketdaten abgeleitet werden.
Quelle, Ziel, Port und Protokoll als technische Grundbausteine
Ein einzelnes Paket kann bereits wichtige Hinweise enthalten. Entscheidend ist, dass du technische Felder sauber liest, ohne daraus vorschnell eine fachliche Bewertung abzuleiten.
Ein einfaches TCP-Paket zerlegen
Source: 10.10.5.23 Destination: 203.0.113.40 Protocol: TCP Source Port: 51542 Dest. Port: 443
Die belastbare Aussage lautet zunächst: Das System 10.10.5.23 kommunizierte per TCP mit 203.0.113.40 unter Verwendung des Zielports 443.
Was dieses Paket noch nicht beweist
Aus den oben sichtbaren Feldern lässt sich nicht automatisch ableiten, welcher Benutzer die Kommunikation ausgelöst hat, welche Anwendung verantwortlich war, welcher Inhalt übertragen wurde oder ob die Verbindung legitim oder auffällig war.
BEOBACHTUNG 10.10.5.23 → 203.0.113.40:443/TCP NICHT AUTOMATISCH BEWIESEN Benutzer Anwendung Inhalt Absicht Bewertung
Interne und externe IP-Adressen unterscheiden
| Privater IPv4-Bereich | Typische Bedeutung |
|---|---|
| 10.0.0.0/8 | Private Adressierung innerhalb eines Netzes |
| 172.16.0.0/12 | Private Adressierung innerhalb eines Netzes |
| 192.168.0.0/16 | Private Adressierung innerhalb eines Netzes |
Eine private Adresse ist typischerweise nicht direkt aus dem öffentlichen Internet geroutet. Für die Analyse hilft diese Unterscheidung bei der ersten Orientierung zwischen internen und externen Kommunikationspartnern.
Ports als Hinweise auf Dienste
| Port | Häufige Zuordnung |
|---|---|
| 22 | SSH |
| 53 | DNS |
| 80 | HTTP |
| 443 | HTTPS / TLS-basierte Webkommunikation |
Aus einzelnen Paketen entsteht eine Verbindung
TCP organisiert Kommunikation verbindungsorientiert. Wireshark macht sichtbar, wie eine Verbindung aufgebaut wird und welche Pakete gemeinsam zu diesem Kommunikationsvorgang gehören.
Der Three-Way Handshake
CLIENT SERVER │ │ │ ----------- SYN -----------> │ │ <-------- SYN, ACK ----------│ │ ----------- ACK -----------> │ │ │ │ VERBINDUNG STEHT │
Diese Abfolge ist ein wichtiges Erkennungsmuster. Sie zeigt, dass zwischen den beiden Kommunikationspartnern ein TCP-Verbindungsaufbau stattgefunden hat.
SYN ist noch keine vollständige Verbindung
Ein einzelnes SYN-Paket zeigt zunächst einen Verbindungsversuch. Erst die weitere Paketfolge zeigt, ob eine Antwort erfolgte und der Verbindungsaufbau erfolgreich abgeschlossen wurde.
NUR SYN → Verbindungsversuch beobachtet SYN → SYN/ACK → ACK → TCP-Verbindungsaufbau beobachtet
Paket und Verbindung unterscheiden
PAKET 241 ┐ PAKET 242 │ PAKET 243 ├──► EINE TCP-VERBINDUNG PAKET 244 │ PAKET 245 ┘
Dieser Unterschied ist für die weiteren Module entscheidend. Wireshark zeigt einzelne Pakete sehr detailliert. Zeek wird dieselbe Kommunikation später stärker als strukturierte Verbindung oder Ereignisfolge betrachten.
Die Fragestellung bestimmt, welche Pakete du sehen möchtest
Bei großen Aufzeichnungen ist Filtern keine Komfortfunktion, sondern eine grundlegende Arbeitsweise. Du reduzierst die sichtbare Datenmenge, ohne die PCAP selbst zu verändern.
Nach einer IP-Adresse filtern
ip.addr == 192.168.10.25
Dieser Filter zeigt IPv4-Pakete, bei denen 192.168.10.25 als Quelle oder Ziel beteiligt ist.
Richtung gezielt untersuchen
ip.src == 192.168.10.25 ip.dst == 198.51.100.17
ip.src begrenzt auf die Quelle, ip.dst auf das Ziel. So kannst du eine Kommunikationsrichtung gezielt untersuchen.
Nach Protokollen filtern
dns tcp http tls
Ein einzelner Protokollname kann bereits als Display Filter dienen. Damit kannst du beispielsweise ausschließlich DNS- oder TLS-Kommunikation betrachten.
Nach Ports filtern
tcp.port == 443
Damit werden TCP-Pakete angezeigt, bei denen Port 443 auf einer der beiden Seiten beteiligt ist.
Filter kombinieren
ip.addr == 192.168.10.25 && tcp.port == 443
Mit && kombinierst du Bedingungen. Die Anzeige wird auf TCP-Kommunikation über Port 443 reduziert, an der die angegebene IP-Adresse beteiligt ist.
Von einem Namen zur später kontaktierten IP-Adresse
DNS kann eine entscheidende Brücke zwischen einer Domain und einer späteren Netzwerkverbindung bilden.
DNS-Anfragen sichtbar machen
Filter: dns Query: portal.example.org
Eine DNS-Anfrage kann zeigen, welchen Namen ein System auflösen wollte. Die Antwort kann anschließend die zugehörige IP-Adresse enthalten.
DNS und Verbindung zeitlich verbinden
14:31:04 DNS QUERY
service.example.org
14:31:04 DNS RESPONSE
198.51.100.40
14:31:05 TCP
192.168.10.25 → 198.51.100.40:443
Die zeitliche Nähe und dieselbe IP-Adresse bilden einen nachvollziehbaren technischen Zusammenhang: Zuerst wurde ein Name aufgelöst, anschließend wurde die zurückgelieferte Adresse kontaktiert.
Was bei unverschlüsselter und verschlüsselter Kommunikation sichtbar sein kann
Netzwerkanalyse bedeutet nicht automatisch, dass jeder übertragene Inhalt lesbar ist. Besonders bei TLS musst du zwischen Inhaltsdaten und beobachtbaren Kommunikationsmetadaten unterscheiden.
HTTP-Kommunikation
GET /login HTTP/1.1 Host: portal.example.org
Bei unverschlüsseltem HTTP können Teile der Anfrage oder Antwort direkt sichtbar sein. Der Filter http hilft, erkannte HTTP-Kommunikation einzugrenzen.
TLS verschlüsselt Inhalte
Bei TLS sind die eigentlichen Anwendungsinhalte normalerweise nicht ohne Weiteres im Klartext lesbar. Trotzdem bleiben weiterhin technische Informationen sichtbar.
| Weiterhin beobachtbar | Nicht automatisch lesbar |
|---|---|
| Quell- und Ziel-IP | Webseiteninhalt |
| Ports | übertragene Formulardaten |
| Zeitpunkte | vollständiger Anwendungsinhalt |
| Paketgrößen und -anzahl | verschlüsselte Nutzdaten |
| Verbindungsaufbau | sämtliche Payload im Klartext |
Verschlüsselt bedeutet nicht unsichtbar
INHALT ██████████████████ verschlüsselt METADATEN Quelle sichtbar Ziel sichtbar Zeit sichtbar Port sichtbar Dauer ableitbar Paketmenge sichtbar
Viele Pakete wieder als einen Vorgang betrachten
Eine Kommunikation lässt sich häufig besser verstehen, wenn zusammengehörige Pakete nicht einzeln, sondern als gemeinsamer Stream betrachtet werden.
Follow TCP Stream
Mit Follow TCP Stream kannst du Pakete einer TCP-Verbindung zusammenhängend betrachten. Damit wird aus einer langen Paketliste wieder ein konkreter Kommunikationsvorgang.
PAKET 104 ┐ PAKET 108 │ PAKET 111 │ PAKET 116 ├──► TCP STREAM 7 PAKET 120 │ PAKET 123 ┘
Warum Streams wichtig sind
Bei einer Untersuchung möchtest du häufig nicht wissen, was Paket 104 isoliert enthält, sondern welche Kommunikation zwischen zwei Endpunkten stattgefunden hat. Der Stream ist deshalb eine wichtige Brücke zwischen Paketebene und Verbindungsebene.
Die Brücke zu Zeek
WIRESHARK
Paket → Paket → Paket → Paket
↓
TCP-Verbindung
↓
ZEEK
strukturierter Verbindungsdatensatz
Genau dieser Perspektivwechsel wird im nächsten Modul wichtig. Wireshark bleibt nah am Paket. Zeek abstrahiert Kommunikation stärker in strukturierte Ereignisse und Logs.
Aus Einzelbeobachtungen wird ein Ablauf
Der Wert einer PCAP entsteht oft nicht durch ein einzelnes Paket, sondern durch die Reihenfolge mehrerer technischer Ereignisse.
Eine kleine Timeline bilden
09:14:02 DNS Query
files.example.org
09:14:02 DNS Response
198.51.100.90
09:14:03 TCP SYN
10.10.10.5 → 198.51.100.90:443
09:14:03 TCP SYN, ACK
198.51.100.90:443 → 10.10.10.5
09:14:03 TCP ACK
10.10.10.5 → 198.51.100.90:443
09:14:04 TLS
Kommunikation beginnt
Erst die zeitliche Kombination zeigt den vollständigen technischen Zusammenhang: Namensauflösung, erfolgreicher TCP-Aufbau und anschließend TLS-Kommunikation.
Korrelation statt Vermutung
Technische Ereignisse können über Zeit, IP-Adressen, Ports und Protokolle miteinander in Beziehung gesetzt werden. Je mehr gemeinsame Merkmale vorhanden sind, desto nachvollziehbarer wird der technische Ablauf.
Ein wiederholbarer Ablauf für unbekannte PCAP-Dateien
Ein professioneller Einstieg beginnt nicht mit zufälligem Klicken. Er folgt einer klaren Reihenfolge, die sich auch auf größere Untersuchungen übertragen lässt.
Schritt 1 – Überblick gewinnen
Prüfe Zeitraum, Größe der Aufzeichnung, sichtbare Protokolle und beteiligte Systeme. Ziel ist noch keine Detailanalyse, sondern Orientierung.
Schritt 2 – Relevante IP eingrenzen
Ist eine IP-Adresse aus der Aufgabenstellung bekannt, reduziere die Ansicht beispielsweise mit ip.addr == 192.168.20.15.
Schritt 3 – Kommunikationspartner bestimmen
Prüfe, welche weiteren IP-Adressen mit dem relevanten System kommunizieren und in welcher Richtung Pakete fließen.
Schritt 4 – Ports und Protokolle prüfen
Untersuche, ob DNS, TCP, HTTP, TLS oder andere relevante Protokolle vorkommen und welche Ports beteiligt sind.
Schritt 5 – Zeitlichen Zusammenhang herstellen
Ordne DNS-Auflösung, Verbindungsaufbau und nachfolgende Kommunikation zeitlich ein. Achte darauf, ob Ereignisse logisch aufeinander folgen.
Schritt 6 – Technische Feststellung formulieren
Dokumentiere beobachtbare Fakten präzise. Eine gute Formulierung nennt System, Zeitpunkt, Ziel, Port, Protokoll und nachvollziehbare Abfolge, ohne mehr zu behaupten als die Daten tragen.
Vier Aussagen, die bei einer Wireshark-Analyse schnell zu falschen Schlüssen führen
Öffne alle vier Karten. Der Modulabschluss setzt voraus, dass du jede Denkfalle geprüft hast.
Von der PCAP zur belastbaren technischen Feststellung
Klicke dich durch den Ablauf. Diese Reihenfolge bildet gleichzeitig die Grundlogik für die spätere Wireshark-Herausforderung.
Eine unbekannte Verbindung Schritt für Schritt untersuchen
Aus einer PCAP ist zunächst nur bekannt, dass das interne System 10.20.30.45 relevant ist. In Wireshark findest du folgende Abfolge:
16:42:11 DNS QUERY
10.20.30.45 → DNS
update.example.net
16:42:11 DNS RESPONSE
update.example.net → 203.0.113.80
16:42:12 TCP SYN
10.20.30.45:51844 → 203.0.113.80:443
16:42:12 TCP SYN, ACK
203.0.113.80:443 → 10.20.30.45:51844
16:42:12 TCP ACK
10.20.30.45:51844 → 203.0.113.80:443
16:42:13 TLS
Kommunikation zwischen beiden Endpunkten
update.example.net wurde per DNS aufgelöst.203.0.113.80.Aus dieser Abfolge allein folgt noch nicht, dass die Domain oder die Verbindung schädlich war, welche Anwendung sie ausgelöst hat oder welcher konkrete Inhalt übertragen wurde.
Filter, Protokolle und Analyseentscheidungen sicher zuordnen
Ordne alle zehn Situationen korrekt zu. Alle Zuordnungen müssen richtig sein, bevor der Modulabschluss möglich ist.
Filter auswählen
192.168.50.22 beteiligt ist.Protokolle erkennen
Verbindungen bewerten
Zusammenhänge herstellen
Analyseprinzip
Wissenscheck – Modul 11
Für den vollständigen Modulabschluss müssen alle zwölf Antworten korrekt sein.
dns?
Du kannst Netzwerkverkehr jetzt systematisch untersuchen
Nach Modul 11 kannst du eine unbekannte PCAP öffnen und die enthaltene Kommunikation strukturiert einordnen. Du erkennst Quell- und Zieladressen, Ports und Protokolle, kannst TCP-Verbindungsaufbauten nachvollziehen, Display Filter einsetzen, DNS und TLS untersuchen, Streams betrachten und technische Beobachtungen in einen zeitlichen Zusammenhang bringen.
Im nächsten Modul wechselst du die Perspektive: Mit Zeek lernst du, wie aus Paketkommunikation strukturierte Verbindungs- und Ereignisdaten entstehen, die sich anschließend auch in großen Datenmengen effizient auswerten lassen.