Sie können nach dem Seminar sicherheitsrelevante Netzwerkereignisse mit Wireshark analysieren, relevante Spuren identifizieren und gerichtsfest dokumentieren. Sie beherrschen die Nutzung von Filtern, Profilen und Geo-IP-Funktionen und verstehen die Einbindung externer Tools in forensische Workflows.
Definition und Bedeutung der IT-Forensik in der modernen Bedrohungs-Welt
Typische Anwendungs-Bereiche und Einsatz-Szenarien
Rechtliche Rahmen-Bedingungen und Anforderungen an die Beweis-Sicherung (DSGVO, NIS2)
2. Einführung in Wireshark
Entwicklungs-Geschichte und Hintergrund von Wireshark (mit Stand Wireshark 4.x in 2026)
Grund-Funktionen und Überblick über die Benutzer-Oberfläche
Installation, Einrichtung und erste Schritte
3. Netzwerk-Analyse mit Wireshark
Erstellen und Nutzen von Analyse-Profilen
Geo-IP-Integration für Herkunfts-Analyse (MaxMind GeoLite2)
Einsatz und Kombination von Capture- und Display-Filtern
Untersuchung gängiger Netzwerk-Protokolle im forensischen Kontext (klassische Welt sowie moderne Protokolle wie HTTP/3 über QUIC, TLS 1.3, DoH und DoT mit veränderter Sichtbarkeit)
4. Vertiefte Netzwerk-Analyse und Forensik mit Wireshark
Erkennen und Auswerten von sicherheits-relevanten Vorfällen (auch in verschlüsseltem Verkehr über JA3- und JA4-Fingerprinting)
Dokumentation und forensische Nachvollziehbarkeit (gerichtsfeste Capture-Welt mit Hashing und Aufbewahrungs-Kette)
5. Einsatz externer Tools in der IT-Forensik
Überblick: tcpdump, pktmon, NetworkMiner und weitere Werkzeuge; Stratoshark als neues Schwester-Werkzeug seit 2024 für System-Call- und Cloud-Log-Forensik
Integration externer Werkzeuge in bestehende Workflows
Fall-Beispiele: Artefakt-Extraktion, Muster-Erkennung und Angriffs-Nachweise
6. Fall-Studien und forensische Praxis-Beispiele
Analyse eines DDoS-Angriffs im Netzwerk-Verkehr (klassische und moderne Amplification-Muster)
Untersuchung eines Daten-Lecks durch unautorisierte Übertragung (auch über DoH oder HTTP/3 als moderne Exfiltrations-Pfade)
Erkennung und Interpretation von Malware-Kommunikation (auch in verschlüsseltem C2-Verkehr moderner Tools)
Analyse eines Insider-Angriffs anhand von Netzwerk-Paketen
Untersuchung verdächtigen Nutzer-Verhaltens im Unternehmens-Netz
Identifikation von Botnet-Kommunikation und Trojaner-Verbindungen
7. Diskussion der Techniken und Lessons Learned
Reflexion angewendeter Methoden und Werkzeuge
Bewertung forensischer Ansätze anhand realer Beispiele (mit MITRE-ATT&CK-Bezug für Klassifizierung)
Transfer in die eigene Praxis
Praxis-Übung: Vollständige Vorfalls-Aufarbeitung mit Bericht
Ziel: Einen kompletten Vorfall von Erst-Erkennung bis Bericht durcharbeiten und juristisch tragfähig dokumentieren
Projekt: Ein vorbereitetes Vorfalls-Szenario vollständig analysieren - Erst-Sichtung, Tief-Analyse mit modernen Methoden, MITRE-ATT&CK-Mapping, Artefakt-Extraktion, professionelle Berichts-Erstellung
Anforderungen: vollständiger Vorfalls-Bericht mit Zeit-Achse, dokumentierte Beweis-Kette, Empfehlungen für Folge-Aktionen
Tools: Wireshark 4.x, NetworkMiner, optional Stratoshark für ergänzende System-Sicht
Ergebnisse: professioneller Vorfalls-Bericht in juristisch tragfähiger Qualität
Dauer/zeitlicher Ablauf:
3 Tage
Zielgruppe:
Dieses Seminar richtet sich an IT-Forensiker, IT-Sicherheitsbeauftragte, Systemadministratoren, Netzwerkverantwortliche sowie Mitarbeitende in CERTs und SOCs, die Netzwerkverkehr gezielt zur Analyse von Sicherheitsvorfällen untersuchen möchten.
Teilnahmevoraussetzungen:
Sie benötigen grundlegende Kenntnisse über Netzwerke und Protokolle (TCP/IP, UDP, DNS etc.).
Vorkenntnisse in der Arbeit mit Wireshark oder vergleichbaren Tools sind von Vorteil, aber nicht zwingend erforderlich.
Interesse an IT-Sicherheit und Forensik wird vorausgesetzt.
Wir setzen Analyse-Cookies ein, um Ihre Zufriedenheit bei der Nutzung unserer Webseite zu verbessern.
Diese Cookies werden nicht automatisiert gesetzt.
Wenn Sie mit dem Einsatz dieser Cookies einverstanden sind, klicken Sie bitte auf Akzeptieren.
Weitere Informationen finden Sie hier.
