Seminar NetworkMiner Grundlagen und PCAP-Triage

Einordnung

Dieses Seminar legt das methodische Fundament für die Arbeit mit PCAP-Dateien. Im Mittelpunkt steht eine ruhige, reproduzierbare Triage: Datei öffnen, Hosts identifizieren, Kommunikation einordnen, Artefakte prüfen und Hypothesen sauber dokumentieren. Die Inhalte sind auf eine zweitägige Dauer ausgelegt, weil neben der Werkzeugbedienung ausreichend Übungszeit für wiederholbare Analysepfade benötigt wird.

Inhaltsübersicht

• Arbeitsweise einer hostzentrierten PCAP-Analyse
• Import und erste Sichtung von Mitschnitten
• Host-Inventar, Sitzungen und Namensauflösung
• Dateien, Bilder, Nachrichten und Zertifikate
• Suchfunktionen und einfache Berichtserstellung

Zielgruppe

Administratoren, SOC-Analysten, Incident-Response-Mitarbeitende, IT-Sicherheitsbeauftragte und Forensik-Einsteiger, die PCAP-Dateien schnell einordnen müssen.

Voraussetzungen

Grundkenntnisse in TCP/IP, DNS, HTTP und Betriebssystem-Grundlagen. Erfahrung mit Sicherheitsvorfällen ist hilfreich, aber nicht zwingend erforderlich.

Seminarinhalte

Analyseumgebung vorbereiten

1. Arbeitsverzeichnis und Fallstruktur festlegen.
2. PCAP-Dateien unverändert sichern und nur mit Arbeitskopien analysieren.
3. Werkzeugoberfläche öffnen, grundlegende Einstellungen prüfen und Zeitbezug festlegen.
4. Erste Sichtung ohne voreilige Bewertung durchführen.

PCAP-Dateien triagieren

1. Mitschnitt laden und Ladeverhalten beobachten.
2. Hosts nach Kommunikationsumfang und Rollen gruppieren.
3. Auffällige Protokolle, Ports und Zeiträume markieren.
4. Eine erste Hypothesenliste für weitere Prüfungen erstellen.

Artefakte auswerten

1. Extrahierte Dateien und Bilder risikobewusst prüfen.
2. E-Mail-, Chat- und Textfragmente einordnen.
3. Zertifikate, Hostnamen und DNS-Spuren zur Kontextbildung verwenden.
4. Fundstücke einer belastbaren Fallnotiz zuordnen.

Dokumentation verdichten

1. Relevante Hosts und Sitzungen priorisieren.
2. Suchbegriffe für Wiederholungsprüfungen definieren.
3. Befunde kurz, sachlich und reproduzierbar formulieren.
4. Offene Fragen für vertiefende Analysen festhalten.

Praktische Übungen

• Unbekannten Mitschnitt in unter 30 Minuten fachlich einordnen.
• Host-Inventar gegen DNS- und Zertifikatsinformationen plausibilisieren.
• Artefakte mit Zeitstempel, Quellhost und Zielhost dokumentieren.

Arbeitsweise im Seminar

Die Inhalte werden mit kurzen fachlichen Einordnungen, Demonstrationen und praktischen Übungen am System vermittelt. Jede Übung folgt einem nachvollziehbaren Schema: Fragestellung klären, Datenbestand öffnen, relevante Spuren finden, Befund notieren und Plausibilität prüfen.