Vom laufenden Datenverkehr zur auswertbaren technischen Spur
In Modul 9 hast du gelernt, technische Datensätze zu lesen, Zeitstempel und Metadaten einzuordnen und mehrere Einzelspuren zu einem Ablauf zu verbinden. Jetzt gehst du einen Schritt zurück an den Ursprung vieler Netzwerkdaten: Woher kommen diese Daten überhaupt? An welcher Stelle werden sie sichtbar? Wie gelangen sie über TAP oder Port Mirroring zu einer Capture Unit? Und wann wird aus flüchtigem Netzwerkverkehr eine PCAP-Datei, die später mit Wireshark oder Zeek untersucht werden kann?
Eine Analyse sieht nur, was ihr technisch zur Verfügung steht
Netzwerkverkehr ist zunächst flüchtig. Pakete bewegen sich zwischen Systemen und verschwinden wieder aus dem Übertragungsweg. Damit sie später untersucht werden können, müssen sie an einem geeigneten Punkt sichtbar gemacht und erfasst werden.
Netzwerkverkehr entsteht während der Kommunikation
Wenn ein Client mit einem Server kommuniziert, werden zahlreiche einzelne Netzwerkpakete übertragen. Ohne zusätzliche Erfassung entsteht daraus nicht automatisch eine dauerhaft untersuchbare Datei.
CLIENT │ │ Netzwerkpakete ▼ SWITCH / ROUTER / FIREWALL │ ▼ SERVER
Der Beobachtungspunkt entscheidet
Ein Capture-System kann nur den Verkehr analysieren, der ihm tatsächlich bereitgestellt wird. Deshalb muss zuerst geklärt werden, an welcher Stelle des Netzwerkweges die Beobachtung erfolgt.
CLIENT ── SWITCH ── FIREWALL ── ROUTER ── INTERNET
▲ ▲
│ │
möglicher möglicher
Beobachtungspunkt Beobachtungspunkt
Eine Erfassung innerhalb eines internen Netzes kann andere Informationen zeigen als eine Erfassung an einem Internetübergang.
Perspektive verändert die sichtbaren Daten
Dieselbe Kommunikation kann an verschiedenen Punkten unterschiedlich erscheinen. Netzwerkfunktionen wie Adressumsetzungen, Tunnel, Proxys oder vorgeschaltete Systeme können die sichtbare Perspektive verändern.
| Frage | Warum sie wichtig ist |
|---|---|
| Wo wurde erfasst? | Bestimmt die technische Perspektive. |
| Welche Richtung wurde erfasst? | Bestimmt, ob Anfrage und Antwort sichtbar sind. |
| Welcher Zeitraum wurde erfasst? | Bestimmt, welche Teile eines Ablaufs enthalten sein können. |
| Welche Systeme liegen vor oder hinter dem Punkt? | Hilft bei der Einordnung sichtbarer Adressen und Rollen. |
Die Autobahn als Denkmodell
Stell dir einen Beobachtungspunkt wie eine Kamera an einer Autobahn vor. Die Kamera kann nur Fahrzeuge erfassen, die tatsächlich an ihr vorbeifahren. Eine Kamera an einer Nebenstraße kann keine vollständige Aussage über den Verkehr auf einer anderen Strecke treffen.
„Nicht vorhanden“ und „nicht erfasst“ unterscheiden
Wenn eine gesuchte Verbindung nicht in einer Aufzeichnung vorkommt, existieren mehrere mögliche Erklärungen: Sie fand nicht statt, sie verlief über einen anderen Netzwerkweg, sie lag außerhalb des Erfassungszeitraums oder sie wurde technisch nicht vollständig erfasst.
KEIN TREFFER IM CAPTURE
│
├── Verbindung fand nicht statt
├── anderer Netzwerkweg
├── falscher Zeitraum
├── Erfassungsfilter
└── unvollständige Aufzeichnung
Wie eine Kopie des Netzwerkverkehrs zur Analyse gelangt
Damit Analysewerkzeuge Netzwerkverkehr untersuchen können, muss eine technische Infrastruktur die relevanten Pakete aus dem Übertragungsweg an ein Capture-System weitergeben.
Network TAP – ein definierter Zugriffspunkt
Ein Network TAP wird an einem definierten Punkt einer Netzwerkverbindung eingesetzt, um dort übertragenen Verkehr für eine Beobachtungs- oder Analyseinfrastruktur verfügbar zu machen.
SYSTEM A ◄──────────────► SYSTEM B
TAP
│
▼
KOPIE DES VERKEHRS
│
▼
CAPTURE-SYSTEM
Das Grundprinzip ist einfach: Die eigentliche Kommunikation läuft weiter, während eine Beobachtungskopie an die Capture-Infrastruktur gelangt.
SPAN / Port Mirroring – Spiegelung am Netzwerkgerät
Bei Port Mirroring wird ein Netzwerkgerät so konfiguriert, dass ausgewählter Verkehr zusätzlich auf einen Beobachtungsport kopiert wird. Der Begriff SPAN wird häufig für eine solche Spiegelungsfunktion verwendet.
CLIENT ──► SWITCH ──► SERVER
│
└────────► MIRROR-PORT
│
▼
CAPTURE-SYSTEM
Für die spätere Analyse bleibt die Kernfrage gleich: Welcher Verkehr wurde gespiegelt und ist die bereitgestellte Kopie vollständig genug für die Fragestellung?
TAP und SPAN erfüllen denselben Grundzweck – aber nicht auf dieselbe Weise
| TAP | SPAN / Port Mirroring |
|---|---|
| dedizierter technischer Zugriff auf einen Netzwerkpfad | Spiegelungsfunktion eines Netzwerkgeräts |
| stellt beobachteten Verkehr an eine Capture-Struktur bereit | kopiert ausgewählten Verkehr auf einen definierten Port |
| Beobachtungspunkt ist physisch bzw. technisch klar definiert | sichtbarer Verkehr hängt von der Konfiguration des Geräts ab |
Die Capture Unit
Im Folgenden bezeichnet Capture Unit das System, das bereitgestellten Netzwerkverkehr entgegennimmt und für weitere Verarbeitung nutzbar macht. Je nach technischer Umgebung kann diese Funktion unterschiedlich umgesetzt sein.
NETZWERK │ ▼ TAP / SPAN │ ▼ CAPTURE UNIT │ ├── Pakete entgegennehmen ├── Zeitinformationen erfassen ├── Daten speichern └── Daten weitergeben │ ▼ ANALYSE
Produktivpfad und Beobachtungskopie unterscheiden
Für das Verständnis einer Capture-Infrastruktur ist eine Trennung besonders wichtig: Die eigentliche Kommunikation zwischen Client und Server bildet den Produktivpfad. TAP, SPAN oder andere Bereitstellungsmechanismen können davon eine Beobachtungskopie an die Capture-Infrastruktur liefern.
PRODUKTIVPFAD
CLIENT ───────────────► SERVER
│
│ Beobachtungskopie
▼
TAP / SPAN
│
▼
CAPTURE UNIT
│
▼
ANALYSE
Die Analyse untersucht damit typischerweise eine bereitgestellte Sicht auf den Netzwerkverkehr. Entscheidend bleibt, welcher Verkehr tatsächlich kopiert, weitergegeben und aufgezeichnet wurde.
Eine Erfassung muss mit der Datenrate Schritt halten
In realen Netzen können große Datenmengen in sehr kurzer Zeit entstehen. Eine Capture Unit muss eintreffende Pakete schnell genug verarbeiten und speichern. Wird sie überlastet, können Pakete in der Aufzeichnung fehlen.
Was in einer Paketaufzeichnung steckt
Nachdem Verkehr bereitgestellt und erfasst wurde, kann er gespeichert und später untersucht werden. Dafür begegnen dir besonders häufig die Begriffe Packet Capture, PCAP und PCAPNG.
Ein Paket enthält technische Informationen
Ein erfasstes Paket kann unter anderem Zeit, Adressen, Protokollinformationen, Ports und eine Paketlänge enthalten. Welche Informationen tatsächlich verfügbar sind, hängt vom Paket, Protokoll und Beobachtungspunkt ab.
| Information | Beispiel |
|---|---|
| Zeitpunkt | 10:21:43.182 |
| Quell-IP | 10.20.5.27 |
| Ziel-IP | 203.0.113.80 |
| Protokoll | TCP |
| Quellport | 51432 |
| Zielport | 443 |
| Paketgröße | 1418 Byte |
Eine Kommunikation besteht aus vielen Paketen
CLIENT SERVER │ ───── Paket 1 ───────────► │ │ ◄──── Paket 2 ──────────── │ │ ───── Paket 3 ───────────► │ │ ◄──── Paket 4 ──────────── │ │ ───── Paket 5 ───────────► │
Ein einzelnes Paket ist nur ein Ausschnitt. Für eine sinnvolle Analyse müssen häufig mehrere Pakete als zusammengehörige Kommunikation betrachtet werden.
PCAP – gespeicherter Netzwerkverkehr
PCAP steht für Packet Capture und bezeichnet im Arbeitsalltag häufig eine Datei mit aufgezeichnetem Netzwerkverkehr. Eine Datei kann beispielsweise incident_01.pcap heißen.
LAUFENDER VERKEHR
│
▼
CAPTURE
│
▼
incident_01.pcap
│
▼
ANALYSEWERKZEUG
PCAP und PCAPNG
Neben klassischen .pcap-Dateien begegnen dir auch .pcapng-Dateien. Beide können Paketaufzeichnungen enthalten. PCAPNG ist ein moderneres Format und kann zusätzliche Informationen zur Aufzeichnung speichern.
Für den Einstieg ist wichtiger als der genaue Dateiaufbau: Beide Formate können die Grundlage einer Paketuntersuchung bilden.
PCAP ist nicht dasselbe wie ein Log
| Log | Packet Capture |
|---|---|
| wird von Anwendung oder System als Ereignis erzeugt | entsteht durch Beobachtung des Netzwerkverkehrs |
| häufig bereits interpretierte Ereignisbeschreibung | sehr nah an tatsächlich übertragenen Paketen |
| Beispiel: LOGIN SUCCESS | Beispiel: TCP-Paket von Quelle zu Ziel |
| abhängig von Logging-Konfiguration | abhängig von Capture-Punkt und Erfassungsqualität |
Beide Datenarten können dieselbe Untersuchung unterstützen – aber aus unterschiedlichen Perspektiven.
Eine PCAP kann vollständig wirken und trotzdem Lücken besitzen
Bevor du Pakete interpretierst, musst du die Qualität und den Umfang der Aufzeichnung verstehen. Zeitraum, Richtung, Paketverlust und Filterung bestimmen, welche Aussagen später überhaupt möglich sind.
Jeder Capture besitzt einen Zeitraum
09:58 Kommunikation beginnt 10:00 ───────────────────────── 10:03 CAPTURE START 10:04 sichtbare Kommunikation 10:05 sichtbare Kommunikation 10:09 CAPTURE ENDE
Beginnt eine Aufzeichnung erst um 10:03 Uhr, erlaubt sie keine vollständige Aussage über Netzwerkaktivitäten um 09:58 Uhr.
Richtung: Anfrage und Antwort
Eine Kommunikation verläuft häufig in beide Richtungen. Fehlt eine Richtung, kann ein Ablauf unvollständig oder missverständlich erscheinen.
VOLLSTÄNDIG CLIENT ───────► SERVER CLIENT ◄─────── SERVER NUR EINE RICHTUNG IM CAPTURE CLIENT ───────► SERVER CLIENT ? SERVER
Fehlende Antwortpakete beweisen deshalb nicht automatisch, dass der Server nicht geantwortet hat. Zuerst muss die Erfassung geprüft werden.
Packet Loss und Capture Loss unterscheiden
Pakete können im eigentlichen Netzwerk verloren gehen. Sie können aber auch korrekt übertragen worden sein und lediglich in der Capture-Infrastruktur fehlen, weil diese sie nicht schnell genug verarbeiten konnte.
| Art | Bedeutung |
|---|---|
| Netzwerkverlust | Ein Paket erreicht sein eigentliches Ziel nicht. |
| Capture-Verlust | Ein Paket wurde möglicherweise übertragen, aber nicht in der Aufzeichnung gespeichert. |
Zeitstempel verbinden verschiedene Datenquellen
Für eine spätere Timeline können Paketdaten mit Logs, Zeek-Daten oder anderen Quellen verglichen werden. Dafür müssen Zeitbasis und Uhrensynchronisation berücksichtigt werden.
09:17:43 LOGIN 09:17:44 TCP-Verbindung 09:17:46 DNS-Ereignis 09:17:48 weiterer Netzwerkverkehr
Unterschiedliche Zeitzonen oder falsch laufende Systemuhren können die scheinbare Reihenfolge verändern.
Filterung kann bereits vor der Analyse stattfinden
Eine Capture-Infrastruktur kann so konfiguriert sein, dass nur ausgewählte Netzwerkbereiche oder Verkehrsarten aufgezeichnet werden. Was nicht erfasst wird, kann später nicht durch einen Analysefilter zurückgeholt werden.
Datenqualität begrenzt jede spätere Analyse
UNVOLLSTÄNDIGE DATENGRUNDLAGE
│
▼
UNVOLLSTÄNDIGE SICHT IM WERKZEUG
│
▼
GEFAHR EINER FALSCHEN INTERPRETATION
Wireshark, Zeek oder OpenSearch können nur mit den Daten arbeiten, die ihnen tatsächlich vorliegen. Fehlende Rohdaten können nicht durch ein Analysewerkzeug „herbeigefiltert“ werden.
Geschützter Inhalt bedeutet nicht unsichtbare Kommunikation
Viele moderne Verbindungen sind verschlüsselt. Trotzdem können Netzwerkaufzeichnungen weiterhin wertvolle technische Informationen enthalten. Entscheidend ist, zwischen Inhalt und beschreibenden Kommunikationsdaten zu unterscheiden.
Verschlüsselung schützt häufig den Inhalt
Bei einer TLS-geschützten Verbindung kann der eigentliche Anwendungsinhalt für einen Beobachter nicht unmittelbar lesbar sein. Trotzdem bleibt die Existenz der Kommunikation als technische Beobachtung erhalten.
10.20.5.27:51542 ───── TLS ─────► 203.0.113.80:443 Inhalt: möglicherweise geschützt Kommunikation: technisch weiterhin beobachtbar
Welche Metadaten weiterhin relevant sein können
| Information | Mögliche Frage |
|---|---|
| Quell- und Zieladresse | Welche Systeme kommunizierten? |
| Zeitpunkt | Wann begann die Kommunikation? |
| Dauer | Wie lange bestand sie? |
| Datenmengen | Wie viel wurde übertragen? |
| Wiederholungen | Trat die Verbindung regelmäßig auf? |
Beobachtungspunkt bleibt auch bei Verschlüsselung wichtig
Welche Informationen sichtbar sind, hängt nicht nur vom Protokoll ab, sondern auch davon, wo im technischen Ablauf beobachtet wird. Vor und nach vorgeschalteten Systemen können unterschiedliche Informationen vorliegen.
Drei Ebenen der späteren Analyse
| Ebene | Beispiel | SPICE-Werkzeug |
|---|---|---|
| Rohdaten | einzelne Netzwerkpakete | Wireshark |
| strukturierte Netzwerkdaten | Verbindungen, DNS-, TLS- oder HTTP-Ereignisse | Zeek |
| indexierte Ereignismengen | viele strukturierte Datensätze durchsuchen und korrelieren | OpenSearch |
Diese Werkzeuge ersetzen sich nicht. Sie betrachten technische Daten aus unterschiedlichen Ebenen und mit unterschiedlichen Stärken.
Vom Capture zu Wireshark und Zeek
┌────────────► WIRESHARK
│ einzelne Pakete
PCAP ─────────┤
│
└────────────► ZEEK
strukturierte Ereignisse
Im nächsten Modul arbeitest du mit der Paketperspektive in Wireshark. Danach lernst du, wie Zeek aus Netzwerkverkehr strukturierte Ereignisse erzeugt.
Vor dem ersten Filter kommt die Prüfung der Datengrundlage
Eine belastbare Netzwerkanalyse beginnt nicht mit einem Werkzeug. Sie beginnt mit der Frage, welche Daten überhaupt vorliegen, wie sie entstanden sind und welche Aussagen sie zulassen.
Sechs Fragen vor jeder Paketuntersuchung
1. WO wurde erfasst? 2. WANN wurde erfasst? 3. WELCHER Verkehr wurde erfasst? 4. SIND beide Richtungen enthalten? 5. GAB es Verluste oder Filterung? 6. WELCHE Aussage kann die Quelle überhaupt tragen?
Beobachtung und Schlussfolgerung trennen
BEOBACHTUNG Im Capture befinden sich zwischen 14:03 und 14:09 Uhr TCP-Pakete zwischen 10.20.5.27 und 203.0.113.80:443. WEITERGEHENDE BEWERTUNG Warum die Kommunikation entstand und welcher Inhalt übertragen wurde, erfordert weitere Daten.
Die saubere Formulierung verhindert, dass technische Rohdaten mehr Aussagekraft erhalten, als sie tatsächlich besitzen.
Eine fehlende Beobachtung ist selbst erklärungsbedürftig
Wenn ein erwartetes Paket, eine Antwort oder eine Verbindung fehlt, sollte nicht sofort eine fachliche Schlussfolgerung gezogen werden. Zuerst wird geprüft, ob die technische Erfassung vollständig genug war.
Das Denkmodell für die kommenden Module
KOMMUNIKATION
↓
BEOBACHTUNGSPUNKT
↓
BEREITSTELLUNG
↓
CAPTURE
↓
DATENFORMAT
↓
ANALYSEWERKZEUG
↓
INTERPRETATION
Dieses Modell begleitet dich durch Wireshark, Zeek und OpenSearch. Jede Auswertung baut auf der Qualität und Perspektive der vorherigen Stufe auf.
Vier Aussagen, die bei Captures schnell zu falschen Schlüssen führen
Öffne alle vier Karten und prüfe, warum die jeweilige Aussage zu kurz greift.
Verfolge den Weg eines Pakets bis zur späteren Analyse
Klicke dich durch die vollständige Kette. Dieses Modell bildet die Grundlage für die kommenden Werkzeugmodule.
Drei Situationen richtig einordnen
Die unbekannte Verbindung
14:03:12 10.20.5.27:51542 → 203.0.113.80:443 14:03:12 203.0.113.80:443 → 10.20.5.27:51542 ... 14:09:07 Verbindung endet
Die Aufzeichnung zeigt eine beidseitige Kommunikation. Für eine belastbare Bewertung solltest du trotzdem den Beobachtungspunkt, den Erfassungszeitraum, mögliche Verluste und den Verschlüsselungsstatus kennen.
Die fehlenden ersten Minuten
11:02:18 LOG: LOGIN SUCCESS 11:03:04 LOG: PROCESS START 11:05:00 PCAP: CAPTURE BEGIN 11:05:11 erstes sichtbares Netzwerkpaket
Saubere Aussage: Die PCAP erlaubt keine Aussage darüber, welche Netzwerkaktivität vor 11:05 Uhr stattgefunden hat. Andere Datenquellen zeigen lediglich, dass vor dem Capture bereits Systemereignisse existierten.
Nur eine Kommunikationsrichtung
10.20.5.27 ─────► 203.0.113.80 10.20.5.27 ─────► 203.0.113.80 10.20.5.27 ─────► 203.0.113.80 keine Gegenrichtung im Capture sichtbar
Saubere Aussage: Die vorhandenen Daten enthalten keine Antwortpakete. Ob tatsächlich keine Antworten übertragen wurden, muss durch Prüfung der Capture-Perspektive und Datenqualität geklärt werden.
Beobachtungspunkt, Capture und Datenqualität richtig zuordnen
Bearbeite alle zwölf Zuordnungen. Alle Antworten müssen korrekt sein.
Beobachtung und Bereitstellung
Capture und Dateiformat
Qualität und Grenzen
Analyse und Bewertung
Wissenscheck – Modul 10
Für den vollständigen Modulabschluss müssen alle zwölf Antworten korrekt sein.
Du kennst jetzt den Weg vom Netzwerk bis zur auswertbaren Spur
Nach Modul 10 kannst du Beobachtungspunkt, TAP, SPAN, Capture Unit, Paketaufzeichnung und PCAP in einer gemeinsamen technischen Kette einordnen. Du weißt außerdem, warum Zeitraum, Richtung, Paketverlust, Filterung, Zeitbasis und Verschlüsselung die Aussagekraft einer späteren Analyse beeinflussen.
Im nächsten Modul öffnest du diese Datengrundlage erstmals praktisch in Wireshark. Dort lernst du Paketliste, Paketdetails, grundlegende Filter und die systematische Untersuchung einer Kommunikation kennen.