Seminar NetworkMiner TLS-, Zertifikats- und Proxy-Analyse

Einordnung

Verschlüsselter Verkehr ist kein schwarzes Loch, aber man sollte ihn auch nicht schönreden: Inhalte bleiben ohne kontrollierte Entschlüsselung verborgen. Zwei Tage reichen für Zertifikats-, Fingerprint- und Proxy-nahe Analyse, ohne in vollständige Kryptographie oder Toolketten-Administration abzudriften.

Inhaltsübersicht

• TLS-Metadaten und Zertifikate interpretieren
• Fingerprints und Hostbezug nutzen
• Grenzen verschlüsselter PCAP-Analyse benennen
• Klartext-Mitschnitte aus kontrollierten Ketten auswerten
• Befunde ohne Überinterpretation dokumentieren

Zielgruppe

SOC-Analysten, Incident Responder, Malware-Analysten, Netzwerkforensiker und Sicherheitsarchitekten mit Fokus auf verschlüsselten Verkehr.

Voraussetzungen

Grundkenntnisse in TLS, Zertifikaten, DNS und PCAP-Analyse. Erfahrung mit Incident Response wird empfohlen.

Seminarinhalte

TLS-Spuren erfassen

1. TLS-Sitzungen und beteiligte Hosts finden.
2. Zertifikate exportieren und Basisdaten prüfen.
3. Gültigkeitszeitraum, Namen und Aussteller fachlich einordnen.
4. Auffällige Zertifikatsmuster markieren.

Fingerprints verwenden

1. JA3-, JA4- und verwandte Hinweise im Kontext betrachten.
2. Fingerprints nicht isoliert als Beweis behandeln.
3. Host-, DNS- und Sitzungsdaten zusammenführen.
4. Wiederkehrende Muster für weitere Nachsuche notieren.

Grenzen sauber ziehen

1. Nicht entschlüsselbare Inhalte als solche kennzeichnen.
2. Zertifikatsfunde von Inhaltsfunden trennen.
3. Proxy- oder Sandbox-basierte Klartext-Mitschnitte getrennt behandeln.
4. Risiken bei der Verarbeitung sensibler Klartextdaten besprechen.

Analysebericht vorbereiten

1. Zertifikats- und Hostprofile zusammenfassen.
2. Verdächtige Gegenstellen priorisieren.
3. Unsichere Schlüsse vermeiden.
4. Prüffragen für Firewall-, Proxy- und Endpoint-Daten ableiten.

Praktische Übungen

• Zertifikatsspuren aus einem verschlüsselten Mitschnitt extrahieren.
• Fingerprint-Hinweise mehreren Hosts zuordnen.
• Klartext- und verschlüsselten Mitschnitt methodisch vergleichen.

Arbeitsweise im Seminar

Die Inhalte werden mit kurzen fachlichen Einordnungen, Demonstrationen und praktischen Übungen am System vermittelt. Jede Übung folgt einem nachvollziehbaren Schema: Fragestellung klären, Datenbestand öffnen, relevante Spuren finden, Befund notieren und Plausibilität prüfen.