Wireshark für Forensiker in Köln

• 1. Grundlagen der IT-Forensik
  • Definition und Bedeutung der IT-Forensik in der modernen Bedrohungs-Welt
  • Typische Anwendungs-Bereiche und Einsatz-Szenarien
  • Rechtliche Rahmen-Bedingungen und Anforderungen an die Beweis-Sicherung (DSGVO, NIS2)

• 2. Einführung in Wireshark
  • Entwicklungs-Geschichte und Hintergrund von Wireshark (mit Stand Wireshark 4.x in 2026)
  • Grund-Funktionen und Überblick über die Benutzer-Oberfläche
  • Installation, Einrichtung und erste Schritte

• 3. Netzwerk-Analyse mit Wireshark
  • Erstellen und Nutzen von Analyse-Profilen
  • Geo-IP-Integration für Herkunfts-Analyse (MaxMind GeoLite2)
  • Einsatz und Kombination von Capture- und Display-Filtern
  • Untersuchung gängiger Netzwerk-Protokolle im forensischen Kontext (klassische Welt sowie moderne Protokolle wie HTTP/3 über QUIC, TLS 1.3, DoH und DoT mit veränderter Sichtbarkeit)

• 4. Vertiefte Netzwerk-Analyse und Forensik mit Wireshark
  • Erkennen und Auswerten von sicherheits-relevanten Vorfällen (auch in verschlüsseltem Verkehr über JA3- und JA4-Fingerprinting)
  • Dokumentation und forensische Nachvollziehbarkeit (gerichtsfeste Capture-Welt mit Hashing und Aufbewahrungs-Kette)

• 5. Einsatz externer Tools in der IT-Forensik
  • Überblick: tcpdump, pktmon, NetworkMiner und weitere Werkzeuge; Stratoshark als neues Schwester-Werkzeug seit 2024 für System-Call- und Cloud-Log-Forensik
  • Integration externer Werkzeuge in bestehende Workflows
  • Fall-Beispiele: Artefakt-Extraktion, Muster-Erkennung und Angriffs-Nachweise

• 6. Fall-Studien und forensische Praxis-Beispiele
  • Analyse eines DDoS-Angriffs im Netzwerk-Verkehr (klassische und moderne Amplification-Muster)
  • Untersuchung eines Daten-Lecks durch unautorisierte Übertragung (auch über DoH oder HTTP/3 als moderne Exfiltrations-Pfade)
  • Erkennung und Interpretation von Malware-Kommunikation (auch in verschlüsseltem C2-Verkehr moderner Tools)
  • Analyse eines Insider-Angriffs anhand von Netzwerk-Paketen
  • Untersuchung verdächtigen Nutzer-Verhaltens im Unternehmens-Netz
  • Identifikation von Botnet-Kommunikation und Trojaner-Verbindungen

• 7. Diskussion der Techniken und Lessons Learned
  • Reflexion angewendeter Methoden und Werkzeuge
  • Bewertung forensischer Ansätze anhand realer Beispiele (mit MITRE-ATT&CK-Bezug für Klassifizierung)
  • Transfer in die eigene Praxis

• Praxis-Übung: Vollständige Vorfalls-Aufarbeitung mit Bericht
  • Ziel: Einen kompletten Vorfall von Erst-Erkennung bis Bericht durcharbeiten und juristisch tragfähig dokumentieren
  • Projekt: Ein vorbereitetes Vorfalls-Szenario vollständig analysieren - Erst-Sichtung, Tief-Analyse mit modernen Methoden, MITRE-ATT&CK-Mapping, Artefakt-Extraktion, professionelle Berichts-Erstellung
  • Anforderungen: vollständiger Vorfalls-Bericht mit Zeit-Achse, dokumentierte Beweis-Kette, Empfehlungen für Folge-Aktionen
  • Tools: Wireshark 4.x, NetworkMiner, optional Stratoshark für ergänzende System-Sicht
  • Ergebnisse: professioneller Vorfalls-Bericht in juristisch tragfähiger Qualität

LernzieleSie können nach dem Seminar sicherheitsrelevante Netzwerkereignisse mit Wireshark analysieren, relevante Spuren identifizieren und gerichtsfest dokumentieren. Sie beherrschen die Nutzung von Filtern, Profilen und Geo-IP-Funktionen und verstehen die Einbindung externer Tools in forensische Workflows.ZielgruppenDieses Seminar richtet sich an IT-Forensiker, IT-Sicherheitsbeauftragte, Systemadministratoren, Netzwerkverantwortliche sowie Mitarbeitende in CERTs und SOCs, die Netzwerkverkehr gezielt zur Analyse von Sicherheitsvorfällen untersuchen möchten.Teilnahmevoraussetzungen:Sie benötigen grundlegende Kenntnisse über Netzwerke und Protokolle (TCP/IP, UDP, DNS etc.).Vorkenntnisse in der Arbeit mit Wireshark oder vergleichbaren Tools sind von Vorteil, aber nicht zwingend erforderlich.Interesse an IT-Sicherheit und Forensik wird vorausgesetzt.