Wireshark für Administratoren

• Tag 1: Grundlagen, Werkzeug-Welt, Capture-Strategien
• 1. Grundlagen und Einsatzmöglichkeiten von Wireshark
  • Funktionsweise und Leistungsumfang von Wireshark 4.x
  • Grenzen klassischer Paket-Analyse in modernen verschlüsselten Welten
  • Sichtbarkeits-Verschiebung durch TLS 1.3, HTTP/3, DoH und DoT
  • Wann Wireshark, wann ergänzende Werkzeuge

• 2. Protokollunterstützung und Analyseumfang
  • Überblick über die unterstützten Protokolle (über 3.000 in Wireshark 4.x)
  • Verifikation von Protokollunterstützung über das Dissektor-Verzeichnis
  • Moderne Protokoll-Welt 2026: HTTP/3 über QUIC, TLS 1.3 mit ECH, DoH und DoT, WireGuard
  • Aktualisierungs-Routine für neue Protokoll-Versionen

• 3. Vergleich zu anderen Tools
  • Unterschiede und Einsatz-Gebiete von dumpcap, tshark, tcpdump und pktmon
  • Integration in bestehende Analyse-Workflows
  • Stratoshark als neues Schwester-Werkzeug (Gerald Combs und Sysdig, 2024-2025) für System-Calls und Cloud-Logs
  • Verweis: für Stratoshark eigener Workshop Stratoshark Einführung" (1T)
  • Verweis: für IDS/IPS-Welten Schwester-Workshop Suricata" (3T, ID 4405)

• 4. Capture-Strategien und Positionierung im Netzwerk
  • Optimale Platzierung von Sniffern in unterschiedlichen Netzwerk-Topologien
  • Umgang mit Switches, Port Mirroring und TAPs
  • Cloud-Capture-Welt: VPC Flow Logs (AWS), NSG Flow Logs (Azure), Cloud Flow Logs (GCP)
  • Container- und Kubernetes-Capture: kubectl-debug, ephemeral debug containers, Sidecar-Capture
  • Verweis: für eBPF-basierte Kubernetes-Beobachtung Schwester-Workshop Cilium" (3T, ID 6767)

• Praxis-Übung 1: Capture-Aufstellung in realer Netzwerk-Topologie
  • Ziel: Eine produktive Capture-Aufstellung mit verschiedenen Werkzeugen aufbauen
  • Projekt: In einer simulierten Netzwerk-Welt eine Capture-Strategie planen, mit Wireshark, tshark und dumpcap parallel capturen, Capture-Größe und Ring-Buffer einrichten, erste Statistik-Sicht erzeugen
  • Anforderungen: drei verschiedene Capture-Werkzeuge produktiv einsetzen, Ring-Buffer mit Datei-Rotation konfigurieren, eine Topologie-bezogene Sicht (z.B. Conversations) erstellen
  • Tools: Wireshark 4.x, tshark, dumpcap
  • Ergebnisse: dokumentierte Capture-Aufstellung mit erster Analyse

• Tag 2: Diagnose, Profile, Filter
• 5. Expertenansicht und Diagnosehilfen
  • Auswertung von Warnungen und Protokoll-Anomalien
  • Bedeutung und Interpretation von Protokoll-Flags und Fehlermeldungen
  • Sequence-Diagram-Ansicht für strukturierte Protokoll-Sicht (NEU in Wireshark 4.x)
  • TCP-Stream-Graphen und Flow-Diagramme für Profi-Analyse

• 6. Arbeiten mit Profilen und Geo-IP-Integration
  • Erstellen und Anpassen von Benutzer-Profilen für verschiedene Anwendungs-Fälle
  • Profil-Welt für unterschiedliche Mannschafts-Rollen (Performance, Sicherheit, Anwendungs-Diagnose)
  • Geo-IP-Anbindung über MaxMind GeoLite2 als Standard 2026
  • DSGVO-Klärung bei Geo-IP-Aufbereitung mit Personen-Bezug

• 7. Filtertechniken zur effizienten Analyse
  • Unterschied zwischen Capture-Filtern (BPF-Syntax) und Display-Filtern (Wireshark-Syntax)
  • Temporäre und dauerhafte Filter-Anwendung
  • Filter-Struktur verstehen und gezielt einsetzen
  • Reduzierung von Filter-Unsicherheit durch gezielte Markierungen und Farben
  • Moderne Filter für HTTP/3 (QUIC), TLS 1.3-Handshake, DoH-Erkennung über Verkehrs-Muster

• Praxis-Übung 2: Profile, Geo-IP und moderne Filter
  • Ziel: Eine Profi-Profil-Welt mit Geo-IP-Anbindung und modernen Filtern aufbauen
  • Projekt: Zwei eigene Profile mit Farb-Markierungen anlegen (Performance-Profil und Anomalie-Profil), MaxMind GeoLite2 einbinden, komplexe Filter für moderne Protokolle (HTTP/3, TLS 1.3-Handshake, DoH-Verkehr) entwickeln und speichern
  • Anforderungen: zwei produktive Profile mit dokumentierten Anwendungs-Fällen, Geo-IP-Anbindung mit Test-Sicht, drei moderne Filter-Ausdrücke gespeichert
  • Tools: Wireshark 4.x, MaxMind GeoLite2-Datenbank
  • Ergebnisse: dokumentierte Profil-Welt mit Filter-Sammlung

• Tag 3: Netzwerk-Probleme, Recht, Statistik
• 8. Erkennung von Netzwerk-Problemen
  • Identifikation von Paket-Verlusten und Latenzen
  • Zeit-bezogene Analyse von Kommunikations-Pfaden
  • Performance-Anomalien in modernen Welten (Sidecar-Latenz in Service Meshes, Service-Mesh-Overhead, Cloud-Verbindungs-Schwankungen)
  • Bufferbloat-Erkennung und TCP-Window-Probleme

• 9. Rechtlicher Rahmen und ethisches Vorgehen
  • Grundlagen des White-Hat-Hackings
  • Rechtliche Aspekte der Daten-Analyse im Netzwerk
  • DSGVO bei Paket-Capture mit Personen-Bezug
  • Mitbestimmung nach BetrVG Paragraph 87 bei Beobachtungs-Welten mit Mitarbeiter-Bezug
  • NIS2-Anforderungen an Sichtbarkeits-Welten in kritischen Infrastrukturen

• 10. Statistische Auswertungen in Wireshark
  • Arbeiten mit Conversations, Endpoints und I/O-Graphen
  • Zeitliche und mengenbasierte Darstellung von Daten-Strömen
  • Service-Map-Visualisierung und Flow-Diagramme für moderne Welten
  • JA3- und JA4-Fingerprinting für verschlüsselten Verkehr im Überblick (Vertiefung in Wireshark-Profi-Workshops)

• Praxis-Übung 3: Netzwerk-Problem-Analyse und Statistik-Bericht
  • Ziel: Eine reale Netzwerk-Welt mit Performance-Problemen analysieren und einen Administrator-Bericht erstellen
  • Projekt: Eine vorbereitete Capture-Datei mit Performance-Problemen analysieren, Paket-Verluste und Latenzen identifizieren, Conversations und I/O-Graphen nutzen, einen kompakten Administrator-Bericht für Vorgesetzte erstellen
  • Anforderungen: drei dokumentierte Probleme mit Wireshark-Beleg, Statistik-Sicht (Conversations, I/O-Graph), Bericht mit Lösungs-Vorschlägen
  • Tools: Wireshark 4.x mit Statistik-Sichten, vorbereitete Capture-Datei
  • Ergebnisse: vollständige Problem-Analyse mit Administrator-Bericht

LernzieleSie sind nach dem Seminar in der Lage, mit Wireshark professionelle Netzwerk-Analysen durchzuführen. Sie erkennen typische Fehlerbilder, interpretieren Netzwerkdatenströme auf Protokollebene und setzen Filter zielgerichtet ein. Sie wissen, wo und wie Netzwerkverkehr sinnvoll aufgezeichnet wird, können statistische Auswertungen vornehmen und nutzen Zusatzfunktionen wie GeoIP oder Expertenansichten effektiv.ZielgruppenDas Seminar richtet sich an IT-Administratoren, Netzwerktechniker, IT-Sicherheitsbeauftragte und alle Fachkräfte, die Netzwerkverkehr analysieren oder Fehlerquellen im Netzwerk professionell identifizieren möchten. Auch technische Supportmitarbeiter und Consultants im IT-Umfeld profitieren von diesem Seminar. Teilnahmevoraussetzungen:Sie benötigen Grundkenntnisse im Umgang mit Netzwerken.Sie sollten grundlegendes Verständnis von IP, TCP/UDP und OSI-Modell mitbringen.Vorkenntnisse in der Nutzung von Netzwerktools sind hilfreich, aber nicht zwingend erforderlich.