Seminar Incident Response: Netzwerkforensik und Datenabfluss

Netzwerkdaten können helfen, betroffene Systeme zu finden und eine vermutete Ausbreitung einzugrenzen. Dafür müssen Adresszuordnung, Messpunkt und Zeitbasis bekannt sein. Das Seminar verbindet die Sicht einzelner Pakete mit Protokollen aus DNS, Proxy und Firewall. Beobachteter Datenverkehr wird dabei von der weitergehenden Behauptung unterschieden, dass bestimmte Dateien tatsächlich abgeflossen sind.

In den Übungen wird ein vorbereiteter Kommunikationsverlauf Schritt für Schritt untersucht. Aus zunächst auffälligen Verbindungen entstehen begründete Suchfragen zu weiteren Geräten und Zeitfenstern. Anschließend werden geeignete Sperrmaßnahmen entworfen und im Kontext legitimer Dienste geprüft. Der Abschluss der Fallarbeit ist eine technische Befunddarstellung mit belegter Reichweite und ausdrücklich benannten Sichtlücken.

Lernziele

• Geeignete Netzwerkdaten und Erfassungspunkte für eine Untersuchung auswählen.
• Paket-, DNS-, Proxy- und Flow-Daten mit konsistenter Zeitbasis korrelieren.
• Verdächtige Kommunikationsmuster von legitimen Übertragungen unterscheiden.
• Hinweise auf Datenabfluss mit ihrer tatsächlichen Beweiskraft bewerten.
• Gezielte Netzmaßnahmen und deren Wirksamkeitskontrolle vorbereiten.

Inhaltsverzeichnis

1. Messpunkte und Datenqualität
2. Paketmitschnitte gezielt auswerten
3. DNS-, Proxy- und Flow-Korrelation
4. Ausbreitung und möglicher Datenabfluss
5. Eindämmung im Netz
6. Netzwerkbefund dokumentieren

Seminarinhalte

Messpunkte und Datenqualität

• Paketmitschnitt, Flow und Geräteprotokoll nach Aussageumfang unterscheiden.
• Zeitbasis, Aufzeichnungsdauer, Paketverlust und Aufbewahrung prüfen.
• NAT, DHCP und wechselnde Adressen bei der Gerätezuordnung berücksichtigen.

Paketmitschnitte gezielt auswerten

• Kommunikationspartner, Verbindungen und Protokolle in Wireshark untersuchen.
• Eingrenzende Filter auf einen konkreten Verdacht anwenden.
• Verschlüsselte Inhalte von sichtbaren Metadaten und Verbindungsmerkmalen trennen.

DNS-, Proxy- und Flow-Korrelation

• Namensauflösung, Zielkontakt und übertragene Mengen zeitlich verbinden.
• Verbindungen den zum Ereigniszeitpunkt gültigen Geräten und Konten zuordnen.
• Unvollständige Sicht durch weitere Datenquellen ergänzen.

Ausbreitung und möglicher Datenabfluss

• Auffällige interne Verbindungen und neue externe Ziele untersuchen.
• Übertragungsvolumen, Richtung und Dienstkontext als Hinweise bewerten.
• Zur Feststellung betroffener Daten zusätzliche Anwendungs- und Endpointbefunde anfordern.

Eindämmung im Netz

• Geräteisolation, gezielte Zielblockade und Segmentbeschränkung vergleichen.
• Betriebsabhängigkeiten, Ausweichwege und Rücknahmebedingungen berücksichtigen.
• Sperrwirkung anhand geeigneter Kontrollpunkte und neuer Daten prüfen.

Netzwerkbefund dokumentieren

• Eine Verbindungschronologie mit Messpunkt und Datenherkunft erstellen.
• Beobachtungen, Schlussfolgerungen und fehlende Sicht klar trennen.
• Weitere Suchaufträge an Endpoint- und Identitätsanalyse übergeben.

Praxisübungen

Praxisfall: Auffällige Übertragung eines Servers an ein neues externes Ziel

1. Messpunkt, Zeitraum und Qualität der vorbereiteten Aufzeichnungen prüfen.
2. Verdächtige Verbindungen im Paketmitschnitt eingrenzen und ihre Merkmale erfassen.
3. DNS-, Proxy- und Flow-Daten mit der historischen Adresszuordnung zusammenführen.
4. Den Verdacht auf Datenabfluss bewerten und fehlende Nachweise benennen.
5. Eine gezielte Sperrmaßnahme mit Betriebsprüfung und Nachkontrolle entwerfen.

Schulungsumgebung

Vorbereitete PCAP-Dateien, DNS-, Proxy- und Flow-Protokolle sowie ein isoliertes Labornetz; Auswertung mit Wireshark und ergänzenden Suchwerkzeugen.

Passendes Intensivseminar

Der Schwerpunkt wird auch gebündelt angeboten: Incident Response Intensiv: Forensik, Windows, Linux und Netzwerke.