Seminar Netzwerkforensik und Threat Hunting für Incident Responder

Ein einzelner verdächtiger Datenstrom belegt noch keinen erfolgreichen Angriff. Diese Schulung legt den Schwerpunkt auf Kontext: Welche Systeme kommunizieren, welcher Geschäftsvorgang könnte die Verbindung erklären und welche unabhängigen Informationen stützen den Verdacht? Die Analyse berücksichtigt verschlüsselten Verkehr, eingeschränkte Aufzeichnung und die wechselnde Zuordnung von Adressen.

Mit Wireshark, Zeek und vorbereiteten Infrastrukturprotokollen werden Angriffshypothesen untersucht und verworfen oder verdichtet. Ein Fall führt von einer ersten Auffälligkeit über mögliche seitliche Bewegungen bis zur Bewertung von Datenabfluss. Die Ergebnisse werden als begründeter Untersuchungsumfang und als überprüfbare Suchaufträge an weitere Teams übergeben.

Schulungsziele

• Geeignete Netzwerkdaten für eine konkrete Untersuchungsfrage auswählen.
• Verbindungen, Namensauflösung und Identitätsbezüge über mehrere Quellen korrelieren.
• Threat-Hunting-Hypothesen mit positiven und negativen Prüfungen bearbeiten.
• Reichweite und Grenzen eines Netzwerkbefunds verständlich dokumentieren.

Zielgruppe

Netzwerk- und Sicherheitsadministratoren, SOC-Analysten, Incident Responder und technische Forensiker.

Voraussetzungen

Sichere Kenntnisse zu TCP/IP, DNS, Routing und Firewalls sowie Grundkenntnisse in Protokollauswertung. Incident-Response-Grundlagen und erste Erfahrung mit Wireshark sind hilfreich.

Seminarinhalte

Die folgenden Themen bilden den fachlichen Aufbau der Schulung.

• Datenquellen und Untersuchungsgrenzen
• Paket- und Protokollanalyse
• Zeek und korrelierte Verbindungsdaten
• Hypothesengeleitetes Threat Hunting
• Ausbreitung und möglicher Datenabfluss
• Zusammenhängender Hunting-Fall

1. Datenquellen und Untersuchungsgrenzen

• Paketmitschnitte, Flows, DNS-, Proxy-, VPN- und Firewall-Protokolle nach Untersuchungszweck auswählen.
• Aufzeichnungsorte, Paketverlust, Zeitabgleich und Datenschutzanforderungen in die Planung aufnehmen.
• NAT, DHCP, VPN und gemeinsam genutzte Systeme bei der Zuordnung einer Adresse berücksichtigen.

2. Paket- und Protokollanalyse

• Vorbereitete PCAP-Dateien in Wireshark auf Verbindungsaufbau und relevante Protokollabläufe untersuchen.
• Übertragungen, Fehler und ungewöhnliche Kommunikationsmuster mit normalem Betriebsverhalten vergleichen.
• Aussagegrenzen verschlüsselter Verbindungen ohne verfügbare Entschlüsselungsinformationen dokumentieren.

3. Zeek und korrelierte Verbindungsdaten

• Verbindungs-, DNS- und TLS-Metadaten aus vorbereiteten Zeek-Logs gezielt auswerten.
• Zusammengehörige Ereignisse über Verbindungskennungen, Zeit und Endpunkte verknüpfen.
• Metadaten mit Firewall- und Endpunktbefunden verbinden und abweichende Zeitauflösungen berücksichtigen.

4. Hypothesengeleitetes Threat Hunting

• Eine vermutete Aktivität als überprüfbare Hypothese mit benötigten Daten und Gegenproben formulieren.
• Periodische Verbindungen, unerwartete Administrationswege und ungewöhnliche Übertragungsmengen im Kontext prüfen.
• Suchabfragen reproduzierbar dokumentieren und bekannte betriebliche Ausnahmen nachvollziehbar behandeln.

5. Ausbreitung und möglicher Datenabfluss

• Hinweise auf seitliche Bewegungen mit Anmeldeereignissen und betroffenen Diensten korrelieren.
• Übertragene Datenmengen und Zielsysteme bewerten, ohne aus Volumen allein einen Datenabfluss als bewiesen darzustellen.
• Eindämmungsmaßnahmen mit Sichtbarkeit, kritischen Diensten und weiteren Untersuchungszielen abstimmen.

6. Zusammenhängender Hunting-Fall

• Eine erste Auffälligkeit über mehrere Netzwerkdatenquellen und vorbereitete Endpunktbefunde verfolgen.
• Betroffene und noch ungeprüfte Systeme in einer nachvollziehbaren Fallübersicht unterscheiden.
• Suchergebnisse mit Evidenz, blinden Flecken und Folgeaufträgen an Incident-Response- und Recovery-Teams übergeben.

Praktische Fallbearbeitung

1. Eine Untersuchungsfrage formulieren und passende Netzwerkdaten auswählen.
2. Einen Paketmitschnitt filtern und die beteiligten Systeme sowie Zeitfenster ermitteln.
3. Zeek-, DNS- und Firewall-Ereignisse mit vorbereiteten Anmeldeinformationen korrelieren.
4. Eine Hunting-Hypothese samt Gegenprobe bearbeiten und den Untersuchungsumfang anpassen.
5. Den Befund mit belegten Verbindungen, Grenzen der Sichtbarkeit und empfohlenen Folgeschritten dokumentieren.

Schulungsumgebung

Vorbereitete PCAP-Dateien, Zeek-Protokolle und anonymisierte beziehungsweise synthetische Infrastrukturereignisse. Wireshark und Kommandozeilenabfragen werden zusammen eingesetzt. Die Übung umfasst passive Analyse aufgezeichneter Daten und keine unautorisierten Zugriffe auf fremde Systeme.

Passende Vertiefungen

Die weitere Auswahl richtet sich nach Aufgabenfeld und vorhandenen Kenntnissen.

• Cloud- und Microsoft-365-Incident-Response – 3 Tage
• Cyber Incident Response Intensiv – Forensik und Threat Hunting – 5 Tage