Seminar NetworkMiner Malware-Traffic-Analyse für Incident Response

Einordnung

Malware-Verkehr ist selten sauber und selten freundlich. Drei Tage sind notwendig, weil die Analyse nicht bei einem verdächtigen Download stehenbleibt: Infektionskette, Hostverhalten, Kommunikation, Artefakte und belastbare Priorisierung werden zusammen betrachtet.

Inhaltsübersicht

• Infektionsketten im Netzwerkverkehr erkennen
• Downloads und Payload-Artefakte bewerten
• C2- und Beaconing-Hinweise einordnen
• Zertifikate, DNS und Hostprofile verbinden
• Incident-Triage für Folgemaßnahmen vorbereiten

Zielgruppe

Incident-Response-Teams, SOC-Analysten, Malware-Analysten, Administratoren kritischer Systeme und IT-Sicherheitsverantwortliche.

Voraussetzungen

Gute Netzwerkgrundlagen, Grundkenntnisse in Incident Response und sicherer Umgang mit potenziell schädlichen Artefakten.

Seminarinhalte

Malware-PCAP sicher behandeln

1. Arbeitsumgebung isolieren.
2. Mitschnitte und extrahierte Objekte getrennt speichern.
3. Automatische Extraktion bewusst überwachen.
4. Keine Artefakte ohne Schutzkonzept ausführen oder öffnen.

Infektionspfad rekonstruieren

1. Ersten auffälligen Host bestimmen.
2. DNS-, HTTP- und Zertifikatsspuren zeitlich sortieren.
3. Downloads und Redirect-Ketten aus dem Mitschnitt ableiten.
4. Benutzeraktion, Exploit-Hinweis und Nachladung trennen.

C2-Kommunikation bewerten

1. Wiederkehrende Verbindungen und Beaconing-Muster markieren.
2. Ungewöhnliche Ports und Protokollabweichungen prüfen.
3. Host- und Zertifikatsinformationen zur Gegenstelle erfassen.
4. Kommunikationsbeziehungen für Eindämmungsmaßnahmen priorisieren.

Incident-Notiz erstellen

1. Kompromittierte Hosts und wahrscheinliche Patient-Zero-Systeme benennen.
2. Indikatoren aus Netzwerkverkehr ableiten.
3. Unsichere Annahmen explizit kennzeichnen.
4. Nächste technische Prüfungen für Endpoint- und Logdaten formulieren.

Praktische Übungen

• Malware-Download aus einem Mitschnitt identifizieren.
• C2-Kandidaten aus Host- und Zeitverhalten priorisieren.
• Kurzbericht für Incident Response erstellen.

Arbeitsweise im Seminar

Die Inhalte werden mit kurzen fachlichen Einordnungen, Demonstrationen und praktischen Übungen am System vermittelt. Jede Übung folgt einem nachvollziehbaren Schema: Fragestellung klären, Datenbestand öffnen, relevante Spuren finden, Befund notieren und Plausibilität prüfen.