Eine Webanwendung unter 10.0.10.20 empfängt eine Anfrage vom Laptop des Analysten (10.0.10.50), während ein späterer Datenverkehrsschub von 10.0.30.66 beide internen Subnetze erreicht. Der Angreifer muss sich nicht anmelden, um Spuren zu hinterlassen. Jedes Paket protokolliert die Herkunft und das Ziel des Datenverkehrs sowie das verwendete Protokoll. Für Verteidiger stellt sich die Frage, wie eine aufgezeichnete Sitzung sowohl den erwarteten Webverkehr als auch verdächtige Sondierungsversuche offenlegen kann, ohne dass die Aufzeichnung lediglich als unlesbarer Bytestrom betrachtet wird.
Unsere feste Laborumgebung umfasst den Laptop des Analysten und die Webanwendung im Netz 10.0.10.0/24, einen DNS-Resolver unter 10.0.10.53 sowie eine Datenbank unter 10.0.20.10. Eine Firewall und ein Router verbinden diese Netzwerke über 10.0.10.1 und 10.0.20.1; die Angreifer-VM befindet sich separat unter 10.0.30.66. Die Aufzeichnung beginnt mit DNS- und Webverkehr und erfasst anschließend, wie die Angreifer-VM Adressen in den beiden internen Netzwerken kontaktiert. Wir werden im Verlauf des Kurses immer wieder auf genau diese Adressen zurückkommen, sodass spätere Filter oder Warnmeldungen stets auf einer bekannten Basislinie aufbauen können.
Das Diagramm veranschaulicht die Geräte, Adressen und den aufgezeichneten Datenverkehr:
Dieses Diagramm veranschaulicht die Bedeutung des späteren Scans. Eine Client-Anfrage an die Webanwendung verfolgt einen erwarteten Zweck, wohingegen wiederholte Verbindungen von 10.0.30.66 zu zahlreichen Zielen auf Ausspähungsaktivitäten (Reconnaissance) hindeuten können. Sollten Schutzmaßnahmen versagen und die Firewall unerwünschten Datenverkehr zulassen, dient die Paketaufzeichnung weiterhin als Erkennungsquelle, da sie Quell- und Zieladresse, Protokoll sowie Zeitinformationen festhält. „Network Service Discovery“ entspricht der ATT&CK-Technik T1046 (Stand: ATT&CK v20, Oktober 2026); Verteidiger können die zugehörigen Netzwerkmuster anhand von Firewall-Protokollen, Flow-Datensätzen oder Paketaufzeichnungen erkennen.
Die aufgezeichnete Anfrage wird verständlich, wenn man sie im Kontext der Kapselung (Encapsulation) betrachtet – jenem Vorgang, bei dem Daten eines Protokolls in den Header eines anderen Protokolls eingebettet werden. So erfordert beispielsweise die GET /login-Anfrage eines Browsers mehr als nur den reinen Textinhalt; das Netzwerk muss zusätzlich Zielport, Ziel-IP-Adresse und das Ziel im lokalen Netzwerk übermitteln.
Das OSI-Modell und das TCP/IP-Modell organisieren diese Abläufe unterschiedlich. Während das OSI-Modell sieben Schichten definiert, unterteilt TCP/IP das Paket üblicherweise in Anwendungs-, Transport-, Internet- und Verbindungsschicht (Link Layer). Keines der beiden Modelle stellt ein eigenständiges Netzwerk dar; vielmehr beschreiben beide den von Wireshark aufgezeichneten Ethernet-Frame.
Welche Informationen identifizieren bei einer Anfrage von 10.0.10.50 an 10.0.10.20 die lokale Zustellung, die Zustellung an den Host, den empfangenden Dienst sowie die angeforderte Seite? Der nachfolgende Paket-Stack macht diese Grenzen sichtbar:
Dieser Stack zeigt die Antwort von außen nach innen. Ethernet verwendet MAC-Adressen, um den Frame über die lokale Verbindung zu übertragen. IPv4 enthält die Adressen 10.0.10.50 und 10.0.10.20, damit Router das Paket zwischen Netzwerken weiterleiten können. TCP nutzt die Ports 51514 und 80 zur Identifizierung der Kommunikationsendpunkte, und HTTP überträgt GET /login als Anwendungsdaten. Ein Paketanalyst kann somit auf jeder Schicht eine spezifische Frage stellen, anstatt alle Felder gleichzeitig zu durchsuchen.
Reihenfolge der Header Lesen Sie die Paketfelder in der Reihenfolge von der Verbindungsübertragung (Link Delivery) über die Host-Zustellung bis zur Dienstbereitstellung, bevor Sie die Anwendungsanfrage interpretieren.
Da der Frame mehrere Schichten gleichzeitig enthält, stellt Wireshark diese im Detailbereich für Pakete als separate Protokolleinträge dar. Ethernet II zeigt die MAC-Felder der Schicht 2 (Data Link Layer), Internet Protocol Version 4 die Adressen der Schicht 3 (Network Layer) und Transmission Control Protocol die Ports sowie Steuer-Flags der Schicht 4 (Transport Layer). Ein Eintrag für das Hypertext Transfer Protocol erscheint erst, wenn Wireshark erkennbare HTTP-Daten identifizieren kann.
Nicht jeder Frame enthält eine HTTP-Anfrage. Vor dem ersten GET /login baut TCP die Verbindung mit einem SYN-Paket von 10.0.10.50 und einer SYN/ACK-Antwort von 10.0.10.20 auf. Diese Pakete identifizieren zwar die beiden Hosts und Ports, enthalten jedoch keine Seitenanfrage. Die nachstehende Beispielausgabe extrahiert Felder aus demselben Datenstrom, ohne den Anspruch zu erheben, tatsächlich auf einem System ausgeführt worden zu sein: