Seminar NetworkMiner Professional und Enterprise-Forensik

Einordnung

Der Fokus liegt auf professionellen Workflows in größeren Umgebungen. Vier Tage sind notwendig, weil Funktionsumfang, Datenmenge, Export, Qualitätssicherung und Teamübergabe zusammen betrachtet werden müssen; in zwei Tagen bliebe das eine hübsche Vorführung, aber kein belastbarer Betriebsprozess.

Inhaltsübersicht

• Professional-Funktionen systematisch einordnen
• Große Mitschnitte priorisiert bearbeiten
• Erweiterte Protokollerkennung nutzen
• Exporte und Fallakten strukturieren
• Teamfähige Qualitätssicherung etablieren

Zielgruppe

Fortgeschrittene SOC-Teams, Incident-Response-Abteilungen, Forensik-Labore, Behörden und Unternehmen mit regelmäßigem PCAP-Aufkommen.

Voraussetzungen

Praxiserfahrung mit NetworkMiner oder vergleichbarer PCAP-Analyse. Das Grundlagenseminar wird dringend empfohlen.

Seminarinhalte

Professional-Arbeitsweise festlegen

1. Funktionsumfang gegenüber Basisanalyse abgrenzen.
2. Arbeitsverzeichnisse, Zeitbezug und Exportpfade standardisieren.
3. Hostfarben, Filter und Priorisierungen bewusst verwenden.
4. Analyseziele vor dem Laden großer Dateien definieren.

Große Datenmengen reduzieren

1. Mitschnitte nach Zeitfenstern, Hosts und Diensten vorstrukturieren.
2. Rauschverkehr und relevante Kommunikation trennen.
3. Wiederholbare Sichtungen statt Zufallsklickerei einsetzen.
4. Zwischenergebnisse mit Fallnotizen verbinden.

Erweiterte Erkennung nutzen

1. Portunabhängige Protokollerkennung interpretieren.
2. DNS- und Hostinformationen für Whitelisting-orientierte Sichtung verwenden.
3. Zertifikats-, OS- und Fingerprint-Hinweise zusammenführen.
4. Falsch-positive Muster erkennen und dokumentieren.

Export und Reporting professionalisieren

1. CSV-, XML- und strukturierte Forensikexporte passend auswählen.
2. Exportdaten gegen sichtbare Funde plausibilisieren.
3. Befunde nach Host, Zeit und Artefaktklasse sortieren.
4. Übergabeformat für SOC, Forensik und Management trennen.

Betriebsprozess sichern

1. Rollen im Analyseprozess festlegen.
2. Vier-Augen-Prüfung für kritische Befunde einbauen.
3. Wiederkehrende Falltypen mit Vorlagen bearbeiten.
4. Lessons Learned als Arbeitsanweisung zurückführen.

Praktische Übungen

• Großen Mitschnitt in analysefähige Fragmente gliedern.
• Professional-Funktionen für Hostpriorisierung und Export einsetzen.
• Teamfähige Fallstruktur mit Prüfprotokoll aufbauen.

Arbeitsweise im Seminar

Die Inhalte werden mit kurzen fachlichen Einordnungen, Demonstrationen und praktischen Übungen am System vermittelt. Jede Übung folgt einem nachvollziehbaren Schema: Fragestellung klären, Datenbestand öffnen, relevante Spuren finden, Befund notieren und Plausibilität prüfen.