Seminar Zeek TLS-, DNS-, HTTP- und Datei-Analyse

Das Seminar vertieft die wichtigsten Protokoll- und Datei-Logs aus Zeek. Ziel ist eine präzise Auswertung von DNS-, HTTP-, TLS- und Dateiaktivitäten im Sicherheitskontext.

Inhaltsverzeichnis

1. DNS-Analyse
2. HTTP-Analyse
3. TLS und X.509
4. Dateianalyse
5. Korrelation

Zielgruppe

SOC-Analysten, Threat Hunter, Incident Responder und Security Engineers

Voraussetzungen

Grundkenntnisse in TCP/IP, DNS, HTTP und TLS; Erfahrung mit Zeek-Grundlogs ist vorteilhaft

Schrittweise Seminarinhalte

1. DNS-Analyse

• Query-Typen, Antworten, TTLs, NXDOMAIN und Resolververhalten interpretieren
• Domainmuster, DGA-Verdacht und Tunneling-Indizien prüfen
• DNS-Daten mit Verbindungen und TLS-Kontext verbinden

2. HTTP-Analyse

• Methoden, Hosts, URIs, Statuscodes, User Agents und Referrer auswerten
• Downloads, Uploads, Redirects und ungewöhnliche Pfade prüfen
• HTTP-Spuren mit Dateien und Verbindungen korrelieren

3. TLS und X.509

• SNI, TLS-Versionen, Ciphers, Zertifikatsketten und x509.log auswerten
• Auffällige Zertifikate, Selbstsignaturen und Gültigkeiten bewerten
• JA3/JA3S als Kontextsignal einordnen

4. Dateianalyse

• files.log, MIME-Erkennung, Hashes und Dateiherkunft verstehen
• Dateiextraktion fachlich und rechtlich einordnen
• Dateiaktivitäten in Vorfallszeitlinien einbauen

5. Korrelation

• UIDs und Zeitfenster für mehrprotokollige Analysen nutzen
• Host-, Domain-, Zertifikats- und Dateisichten verbinden
• Aussagekräftige Analysepfade für SOC-Fälle formulieren

Praxisübungen

• DNS- und TLS-Korrelation eines verdächtigen Hosts
• Analyse eines HTTP-Downloads mit Dateimetadaten
• Aufbau einer Protokollzeitlinie aus mehreren Zeek-Logs

Methodischer Schwerpunkt

Das Seminar bleibt eng an den Logfeldern. Protokollgefühl ist gut; Feldkenntnis ist besser.