Seminar ntopng Network Monitor Security Monitoring und Anomalieerkennung

Inhaltsübersicht

• Security-relevante Netzwerkdaten
• Baseline und Abweichungen
• Scans, ungewöhnliche Protokolle und Datenabfluss
• Alarmierung und Triage
• Dokumentation technischer Befunde

Seminarbeschreibung

Dieses Seminar behandelt ntopng als Werkzeug für Security-nahe Netzwerkanalyse. Der Schwerpunkt liegt auf beobachtbarem Verhalten: wer spricht mit wem, über welches Protokoll, in welcher Menge und mit welcher Abweichung vom Normalbild.

Drei Tage sind notwendig, weil Security Monitoring neben der Bedienung auch Baselines, Triage, Befunddokumentation und mehrere praktische Analysefälle umfasst.

Seminarinhalte

Schritt 1: Baseline erstellen

Normales Kommunikationsverhalten wird anhand von Hosts, Protokollen, Volumen, Zeiten und Zielsystemen beschrieben.

Schritt 2: Anomalien erkennen

Ungewöhnliche Verbindungen, neue Dienste, Scans, hohe Datenmengen und seltene Protokolle werden gezielt gesucht.

Schritt 3: Ereignisse priorisieren

Auffälligkeiten werden nach Risiko, Kritikalität, Wiederholbarkeit und betroffenen Systemen bewertet.

Schritt 4: Triage durchführen

Host- und Flow-Daten, Zeitreihen, Protokolle und Alarme werden zu einer ersten technischen Bewertung verbunden.

Schritt 5: Befunde dokumentieren

Analyseweg, Beobachtungen, Grenzen und nächste Maßnahmen werden nachvollziehbar festgehalten.

Praktische Übungen

• Erstellung einer einfachen Kommunikationsbaseline
• Analyse eines Scan-Szenarios
• Untersuchung eines ungewöhnlichen Datenvolumens
• Dokumentation eines Security-Befunds

Zielgruppe

Geeignet für Security Operations, Netzwerkadministration und Incident Response, wenn Netzwerkverhalten als Grundlage für Sicherheitsbewertungen genutzt wird.

Voraussetzungen

Erforderlich sind TCP/IP-Kenntnisse, ntopng-Grundlagen und ein Grundverständnis für Security Monitoring und Incident-Triage.