12.1 Sniffing, Paketmitschnitt und Netzwerkanalyse
Sniffing bedeutet:
Netzwerkverkehr mitschneiden und analysieren.
Dabei werden Datenpakete sichtbar gemacht, damit man verstehen kann, was im Netzwerk wirklich passiert.
Typische Werkzeuge sind:
- Wireshark
- tcpdump
- tshark
- Packet Capture auf Firewalls
- Switch-Port-Mirroring
- Browser-Entwicklertools
- Logdateien als Ergänzung
Merksatz:
Sniffing zeigt den tatsächlichen Netzwerkverkehr.
Warum nutzt man Paketmitschnitte?
Ein Paketmitschnitt hilft, wenn normale Fehlermeldungen nicht ausreichen.
Man kann damit prüfen:
Kommt ein Paket überhaupt an?
Antwortet das Zielsystem?
Wird DNS korrekt gefragt?
Findet ein TCP-Handshake statt?
Gibt es Wiederholungen?
Gibt es Timeouts?
Wird die Verbindung aktiv abgelehnt?
Wird TLS aufgebaut?
Werden DHCP-Pakete gesendet?
Gibt es ARP-Probleme?
Merksatz:
Paketmitschnitt hilft,
Vermutungen durch echte Daten zu ersetzen.
Sniffing ist nicht immer erlaubt
Netzwerkverkehr kann sensible Informationen enthalten.
Beispiele:
- Benutzernamen
- Passwörter
- Cookies
- Tokens
- E-Mail-Inhalte
- interne IP-Adressen
- Kundendaten
- personenbezogene Daten
- vertrauliche Kommunikation
Deshalb gilt:
Paketmitschnitte nur mit Erlaubnis,
Zweckbindung
und möglichst begrenztem Umfang durchführen.
Merksatz:
Sniffing ist technisch hilfreich,
aber datenschutz- und sicherheitsrelevant.
Was sieht man in einem Paketmitschnitt?
In einem Paketmitschnitt sieht man je nach Protokoll:
- Quell-MAC-Adresse
- Ziel-MAC-Adresse
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Protokoll
- Quellport
- Zielport
- Flags
- Paketgröße
- Zeitstempel
- DNS-Anfragen
- TCP-Handshake
- TLS-Handshake
- unverschlüsselte Nutzdaten
Bei verschlüsselten Verbindungen sieht man den Inhalt nicht einfach im Klartext.
Merksatz:
Metadaten sind oft sichtbar,
Inhalte bei TLS meist nicht.
OSI-Schichten im Paketmitschnitt
Ein Paketmitschnitt zeigt mehrere OSI-Schichten gleichzeitig.
| Sichtbarer Bereich | OSI-Schicht |
|---|---|
| MAC-Adressen | 2 |
| VLAN-Tags | 2 |
| IP-Adressen | 3 |
| ICMP | 3 |
| TCP / UDP | 4 |
| Ports | 4 |
| TLS-Handshake | 6 / 7-Bezug |
| DNS, HTTP, DHCP, SMTP | 7 |
Merksatz:
Paketmitschnitt verbindet die Schichten sichtbar miteinander.
Wireshark
Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkpaketen.
Es zeigt Pakete übersichtlich mit:
- Paketliste
- Paketdetails
- Rohdaten
- Protokollauswertung
- Filtern
- Zeitinformationen
- Verbindungsübersichten
Wireshark eignet sich besonders gut, um Protokolle Schritt für Schritt zu verstehen.
Merksatz:
Wireshark macht Netzwerkverkehr sichtbar und lesbar.
tcpdump
tcpdump ist ein Kommandozeilenwerkzeug für Paketmitschnitte.
Es wird häufig auf Linux, Unix, Firewalls, Servern oder Netzwerkgeräten verwendet.
Vorteile:
- schnell
- leicht auf Servern nutzbar
- gut für SSH-Sitzungen
- kann Mitschnitte als Datei speichern
- gut für gezielte Filter
Merksatz:
tcpdump ist Paketmitschnitt auf der Kommandozeile.
tshark
tshark ist die Kommandozeilenversion von Wireshark.
Es kann Pakete aufzeichnen, filtern und Protokolldaten ausgeben.
Typische Nutzung:
- Analyse auf Servern
- automatisierte Auswertung
- schnelle Suche in Mitschnitten
- Export bestimmter Felder
Merksatz:
tshark bringt Wireshark-Funktionen auf die Kommandozeile.
Packet Capture auf Firewalls
Viele Firewalls bieten eine eingebaute Paketmitschnittfunktion.
Vorteil:
Man sieht,
ob Pakete an der Firewall ankommen
und auf welchem Interface sie erscheinen.
Das ist hilfreich bei:
- NAT-Problemen
- Routingproblemen
- DMZ-Verkehr
- VPN-Problemen
- Firewall-Regelprüfung
- asymmetrischem Routing
Merksatz:
Mitschnitt auf der Firewall zeigt,
was die Firewall wirklich sieht.
Switch-Port-Mirroring
Ein Switch leitet normalerweise nur relevante Frames an den passenden Port weiter.
Damit ein Analysegerät trotzdem Verkehr anderer Ports sehen kann, nutzt man:
Port Mirroring
oder:
SPAN-Port
Dabei wird Verkehr von einem oder mehreren Ports auf einen Analyseport kopiert.
Merksatz:
Port Mirroring kopiert Verkehr zu einem Analyseport.
Warum sieht man nicht automatisch alles?
In geswitchten Netzwerken sieht ein normaler Client nicht den gesamten Verkehr.
Er sieht hauptsächlich:
- eigenen Verkehr
- Broadcasts
- Multicasts
- bestimmte lokale Pakete
Er sieht normalerweise nicht:
den gesamten Verkehr anderer Clients
Dafür braucht man Port Mirroring, Mitschnitt am Zielsystem oder Mitschnitt an einer Firewall.
Merksatz:
In geswitchten Netzen sieht man ohne Mirror nicht alles.
Promiscuous Mode
Promiscuous Mode bedeutet:
Die Netzwerkkarte nimmt auch Frames an,
die nicht direkt an ihre eigene MAC-Adresse gerichtet sind.
Das ist für Sniffing hilfreich.
Aber:
In geswitchten Netzwerken reicht Promiscuous Mode allein nicht,
um fremden Verkehr zu sehen.
Merksatz:
Promiscuous Mode hilft,
ersetzt aber kein Port Mirroring.
Capture Filter und Display Filter
Bei Wireshark und tcpdump gibt es unterschiedliche Filterarten.
Capture Filter:
bestimmen,
was überhaupt aufgezeichnet wird.
Display Filter:
bestimmen,
was nachträglich angezeigt wird.
Beispiel:
Capture Filter:
nur Verkehr zu Host 192.168.10.20 mitschneiden
Display Filter:
im vorhandenen Mitschnitt nur DNS anzeigen
Merksatz:
Capture Filter begrenzt Aufnahme.
Display Filter begrenzt Anzeige.
Capture Filter
Capture Filter werden vor oder während der Aufnahme angewendet.
Vorteil:
kleinere Dateien
weniger Daten
bessere Übersicht
weniger sensible Daten
Nachteil:
was nicht aufgezeichnet wurde,
kann man später nicht analysieren.
Merksatz:
Capture Filter nur setzen,
wenn klar ist,
was benötigt wird.
Display Filter
Display Filter werden nach der Aufnahme angewendet.
Vorteil:
alle Daten bleiben erhalten
Ansicht kann beliebig eingegrenzt werden
ideal für Analyse
Beispiele für Filterideen:
nur eine IP-Adresse
nur DNS
nur TCP-Fehler
nur HTTP
nur Pakete mit Reset
Merksatz:
Display Filter sind sicherer für Analyse,
weil die Rohdaten erhalten bleiben.
Wichtige Filtergedanken
Typische Fragen:
Welche IP-Adresse interessiert mich?
Welcher Port interessiert mich?
Welches Protokoll interessiert mich?
Welche Richtung interessiert mich?
Welche Fehlermeldung sehe ich?
Welche Zeitspanne ist relevant?
Beispiele:
Verkehr eines bestimmten Hosts
DNS-Anfragen
TCP-Verbindungen zu Port 443
ICMP-Pakete
DHCP-DORA
ARP-Anfragen
Merksatz:
Gute Filter entstehen aus einer klaren Fragestellung.
MAC-Adressen im Mitschnitt
MAC-Adressen gehören zu OSI-Schicht 2.
Sie zeigen, welche Geräte im lokalen Netzwerksegment miteinander kommunizieren.
Wichtig:
MAC-Adressen ändern sich bei jedem Routing-Hop.
Ein Paket zum Internet hat im LAN als Ziel-MAC nicht den Webserver im Internet, sondern die MAC-Adresse des Standard-Gateways.
Merksatz:
Im lokalen Netz ist die Ziel-MAC oft das Gateway.
IP-Adressen im Mitschnitt
IP-Adressen gehören zu OSI-Schicht 3.
Sie zeigen:
Quell-IP
Ziel-IP
Bei NAT können sich IP-Adressen ändern.
Beispiel:
vor NAT:
private Client-IP
nach NAT:
öffentliche Firewall-IP
Merksatz:
IP-Adressen zeigen logische Endpunkte,
können durch NAT geändert werden.
Ports im Mitschnitt
Ports gehören zu OSI-Schicht 4.
Sie zeigen, welcher Dienst angesprochen wird.
Beispiel:
Zielport TCP 443:
typischerweise HTTPS
Zielport TCP 22:
typischerweise SSH
Zielport UDP 53:
typischerweise DNS
Merksatz:
Ports helfen,
Dienste zu erkennen.
Quellport und Zielport
Bei Client-Server-Verbindungen nutzt der Client meist einen temporären Quellport.
Beispiel:
Client:
192.168.10.50:53124
Server:
203.0.113.10:443
Dabei ist:
53124 = temporärer Quellport
443 = Zielport des Dienstes
Merksatz:
Der bekannte Dienstport ist meistens der Zielport beim Server.
TCP-Handshake im Mitschnitt
TCP baut eine Verbindung mit drei Schritten auf:
SYN
SYN-ACK
ACK
Im Mitschnitt sieht man dadurch, ob eine TCP-Verbindung zustande kommt.
| Beobachtung | mögliche Bedeutung |
|---|---|
| SYN, SYN-ACK, ACK | Verbindung aufgebaut |
| nur SYN-Wiederholungen | keine Antwort, Firewall oder Routingproblem |
| SYN, RST | Ziel lehnt aktiv ab |
| SYN, SYN-ACK, danach kein ACK | Rückweg oder Clientproblem |
| viele Retransmissions | Paketverlust oder Blockierung |
Merksatz:
TCP-Handshake ist einer der wichtigsten Hinweise im Mitschnitt.
TCP SYN
SYN bedeutet:
Client möchte eine TCP-Verbindung starten.
Wenn man nur SYN-Pakete sieht, aber keine Antwort, kann das bedeuten:
Ziel antwortet nicht.
Firewall blockiert.
Rückweg fehlt.
Ziel-IP ist falsch.
Dienst ist nicht erreichbar.
Routing stimmt nicht.
Merksatz:
Nur SYN ohne Antwort deutet auf keine erreichbare Antwort hin.
TCP SYN-ACK
SYN-ACK bedeutet:
Server akzeptiert den Verbindungsaufbau grundsätzlich
und antwortet.
Wenn SYN-ACK ankommt, ist der Zielport grundsätzlich erreichbar.
Danach muss der Client mit ACK bestätigen.
Merksatz:
SYN-ACK zeigt:
Ziel hat auf TCP-Verbindungsversuch geantwortet.
TCP ACK
ACK bestätigt empfangene Daten oder Verbindungsaufbau.
ACKs sind normaler Bestandteil von TCP.
Sie zeigen, dass Pakete angekommen sind und die Verbindung fortgesetzt werden kann.
Merksatz:
ACK bestätigt Empfang.
TCP RST
RST steht für:
Reset
Ein RST beendet oder verweigert eine Verbindung aktiv.
Mögliche Ursachen:
- Dienst läuft nicht
- Port geschlossen
- Anwendung lehnt ab
- Firewall sendet Reset
- falsches Protokoll auf Port
- Verbindung wird abgebrochen
Merksatz:
RST = aktive Ablehnung oder Abbruch.
TCP Retransmission
Retransmission bedeutet:
TCP sendet ein Paket erneut.
Grund:
keine Bestätigung erhalten
Mögliche Ursachen:
- Paketverlust
- Firewall blockiert Pakete
- Überlastung
- schlechter Link
- Rückwegproblem
- Ziel antwortet nicht
Merksatz:
Retransmissions deuten auf verlorene oder unbeantwortete Pakete hin.
TCP Window
TCP Window beschreibt, wie viele Daten empfangen werden können, bevor eine Bestätigung nötig ist.
Wenn das Fenster sehr klein oder null wird, kann das auf Leistungsprobleme hindeuten.
Beispiel:
Empfänger kann nicht schnell genug verarbeiten.
Merksatz:
TCP Window betrifft Flusskontrolle und Leistung.
UDP im Mitschnitt
UDP hat keinen Verbindungsaufbau wie TCP.
Es gibt keinen SYN, kein SYN-ACK und kein ACK für den Verbindungsaufbau.
Bei UDP prüft man:
Wird Anfrage gesendet?
Kommt Antwort zurück?
Gibt es ICMP-Fehler?
Wird der richtige Port genutzt?
Merksatz:
UDP ist verbindungslos,
deshalb sieht man keinen Handshake.
ICMP im Mitschnitt
ICMP gehört zu Schicht 3.
Es wird genutzt für:
- Ping
- Ziel nicht erreichbar
- Time Exceeded
- Fragmentierung nötig
- Diagnosemeldungen
ICMP-Meldungen können wichtige Hinweise geben.
Beispiel:
Destination Unreachable
Merksatz:
ICMP liefert oft Hinweise auf Netzwerkprobleme.
ARP im Mitschnitt
ARP gehört zur lokalen IPv4-Kommunikation.
ARP fragt:
Welche MAC-Adresse gehört zu dieser IPv4-Adresse?
Beispiel:
Wer hat 192.168.10.1?
Antwort:
192.168.10.1 ist bei MAC-Adresse xx:xx:xx:xx:xx:xx
Merksatz:
ARP löst IPv4-Adresse zu MAC-Adresse im lokalen Netz auf.
ARP-Probleme erkennen
Typische Hinweise:
viele ARP-Anfragen ohne Antwort
falsche MAC-Adresse
doppelte IP-Adresse
Gateway antwortet nicht
Client fragt falsches Ziel direkt
Mögliche Ursachen:
- Ziel nicht im lokalen Netz
- falsche Netzmaske
- falsches Gateway
- VLAN falsch
- IP-Konflikt
- Gerät offline
Merksatz:
ARP-Probleme zeigen oft lokale Layer-2- oder Layer-3-Fehler.
DNS im Mitschnitt
DNS ist häufig sehr gut im Mitschnitt erkennbar.
Man sieht:
welche Namen gefragt werden
welcher DNS-Server gefragt wird
welche Antwort zurückkommt
ob A- oder AAAA-Records angefragt werden
ob NXDOMAIN zurückkommt
ob Antwort verzögert ist
Merksatz:
DNS-Mitschnitt zeigt,
welcher Name wirklich wohin aufgelöst wird.
DHCP im Mitschnitt
DHCP kann man im Mitschnitt gut erkennen.
Der klassische Ablauf:
Discover
Offer
Request
Acknowledge
Fehlerbilder:
Discover ohne Offer:
DHCP-Server oder Relay antwortet nicht.
Offer kommt,
aber kein Ack:
Anfrage oder Serverbestätigung gestört.
falsche Optionen:
Gateway oder DNS falsch verteilt.
Merksatz:
DHCP-DORA ist im Mitschnitt gut nachvollziehbar.
TLS im Mitschnitt
Bei TLS sieht man normalerweise nicht den verschlüsselten Inhalt.
Man sieht aber oft:
TLS-Version
Server Name Indication
Zertifikatsinformationen
Cipher-Aushandlung
Handshake-Fehler
Verbindungsabbrüche
Wichtig:
Der Inhalt von HTTPS bleibt ohne Entschlüsselung geschützt.
Merksatz:
TLS versteckt Inhalte,
aber der Handshake liefert Hinweise.
SNI im Mitschnitt
SNI steht für:
Server Name Indication
Der Client teilt beim TLS-Aufbau mit, welchen Hostnamen er erreichen möchte.
Das ist wichtig, wenn mehrere HTTPS-Dienste auf derselben IP laufen.
Beispiel:
wiki.firma.de
cloud.firma.de
git.firma.de
alle über:
dieselbe IP und TCP 443
Merksatz:
SNI zeigt den gewünschten TLS-Hostnamen.
HTTP im Mitschnitt
Unverschlüsseltes HTTP kann im Mitschnitt direkt gelesen werden.
Man sieht zum Beispiel:
Methode
Pfad
Host-Header
Statuscode
Header
teilweise Inhalte
Bei HTTPS sieht man diese Inhalte normalerweise nicht, weil sie verschlüsselt sind.
Merksatz:
HTTP ist lesbar,
HTTPS schützt den Inhalt.
FTP und Telnet im Mitschnitt
FTP und Telnet können unverschlüsselte Inhalte übertragen.
Bei klassischem FTP können sichtbar sein:
Benutzername
Passwort
Befehle
Dateiinhalte
Bei Telnet können sichtbar sein:
Login
Passwort
Befehle
Merksatz:
Unverschlüsselte Protokolle sind im Mitschnitt gefährlich sichtbar.
SMB im Mitschnitt
SMB-Verkehr kann Hinweise liefern bei:
Zugriff verweigert
Verbindungsproblemen
Namensproblemen
Protokollversionsproblemen
Dateioperationen
Authentifizierungsproblemen
Wichtig:
Moderne SMB-Kommunikation kann teilweise signiert oder verschlüsselt sein.
Merksatz:
SMB-Mitschnitte helfen bei Freigabe- und Rechteproblemen.
Zeitstempel im Mitschnitt
Zeitstempel zeigen, wann Pakete gesendet oder empfangen wurden.
Sie helfen bei:
Timeouts
Verzögerungen
Wiederholungen
langsamen Antworten
Reihenfolge von Ereignissen
Wichtig:
Systemzeit des Analysegeräts sollte korrekt sein.
Merksatz:
Ohne korrekte Zeit sind Mitschnitte schwerer auszuwerten.
Paketgröße
Die Paketgröße kann Hinweise geben.
Beispiele:
sehr kleine Pakete:
Steuerinformationen, ACKs, Handshake
große Pakete:
Datenübertragung
fragmentierte Pakete:
MTU- oder Fragmentierungsthemen möglich
Merksatz:
Paketgrößen können Leistungs- oder MTU-Probleme sichtbar machen.
MTU-Probleme im Mitschnitt
MTU steht für:
Maximum Transmission Unit
MTU-Probleme können auftreten, wenn Pakete zu groß sind und Fragmentierung nicht richtig funktioniert.
Typische Hinweise:
Verbindungen bauen auf,
aber größere Datenübertragungen hängen.
Webseiten laden teilweise.
VPN-Verbindungen haben Probleme.
ICMP Fragmentation Needed fehlt oder wird blockiert.
Merksatz:
MTU-Probleme zeigen sich oft erst bei größeren Paketen.
Wo sollte man mitschneiden?
Der Ort des Mitschnitts ist entscheidend.
Mögliche Stellen:
Client
Server
Firewall WAN
Firewall LAN
Firewall DMZ
Switch Mirror Port
Router
VPN-Gateway
Reverse Proxy
Je nach Stelle sieht man unterschiedliche Informationen.
Merksatz:
Der Mitschnittort entscheidet,
was man sehen kann.
Clientseitiger Mitschnitt
Ein Mitschnitt am Client zeigt:
was der Client wirklich sendet
welche DNS-Anfragen gestellt werden
welche IP erreicht wird
ob Antwort zurückkommt
welche Fehlversuche entstehen
Gut bei:
Einzelclient-Problemen
DNS-Problemen
Browserproblemen
VPN-Clientproblemen
Merksatz:
Client-Mitschnitt zeigt die Sicht des Clients.
Serverseitiger Mitschnitt
Ein Mitschnitt am Server zeigt:
ob Anfragen beim Server ankommen
von welcher IP sie ankommen
auf welchem Port sie ankommen
ob der Server antwortet
ob die Host-Firewall beteiligt sein könnte
Gut bei:
Dienstproblemen
Firewallverdacht
NAT-Fragen
Rückwegproblemen
Merksatz:
Server-Mitschnitt zeigt,
ob der Dienst wirklich erreicht wird.
Firewall-Mitschnitt
Ein Mitschnitt auf der Firewall zeigt:
kommt Verkehr auf WAN an?
wird Verkehr nach NAT weitergeleitet?
kommt Antwort zurück?
auf welchem Interface erscheint Verkehr?
wird Rückverkehr sichtbar?
Gut bei:
NAT
DMZ
VPN
Routing
Portweiterleitung
asymmetrischem Routing
Merksatz:
Firewall-Mitschnitt zeigt den Übergang zwischen Zonen.
Mehrere Mitschnitte vergleichen
Manchmal braucht man Mitschnitte an mehreren Stellen.
Beispiel:
Client sendet SYN.
Firewall WAN sieht SYN.
Firewall DMZ sieht weitergeleitetes SYN.
Server sieht kein SYN.
Dann liegt das Problem zwischen Firewall und Server.
Oder:
Server antwortet.
Firewall sieht Antwort.
Client sieht Antwort nicht.
Dann Rückweg oder Filter prüfen.
Merksatz:
Mehrere Mitschnitte zeigen,
wo Pakete verschwinden.
Paketmitschnitt und Logs kombinieren
Paketmitschnitte zeigen Verkehr.
Logs zeigen Entscheidungen und Anwendungszustände.
Beispiele:
Firewall-Log:
Paket wurde blockiert.
Webserver-Log:
Anfrage kam an und erzeugte 500.
Auth-Log:
Anmeldung wurde abgelehnt.
Paketmitschnitt:
TCP-Verbindung wurde aufgebaut.
Merksatz:
Mitschnitt und Logs ergänzen sich.
Typische Analysefragen
Bei einem Paketmitschnitt fragt man:
Sehe ich überhaupt Pakete?
Sehe ich die richtige Quelle?
Sehe ich das richtige Ziel?
Sehe ich den richtigen Port?
Sehe ich DNS vorher?
Sehe ich einen TCP-Handshake?
Sehe ich Reset oder Timeout?
Sehe ich TLS-Handshake?
Sehe ich Antwortpakete?
Sehe ich Wiederholungen?
Sehe ich ICMP-Fehler?
Passt die Richtung?
Merksatz:
Mitschnitt immer mit konkreter Frage auswerten.
Typisches Fehlerbild: Nur SYN-Wiederholungen
Wenn man nur SYN-Pakete sieht, aber keine SYN-ACK-Antwort, kann das bedeuten:
Ziel nicht erreichbar
Firewall droppt
falsche Ziel-IP
Routingproblem
Rückweg fehlt
Dienst oder Host antwortet nicht
NAT falsch
Merksatz:
Nur SYN-Wiederholungen deuten auf fehlende Antwort hin.
Typisches Fehlerbild: RST nach SYN
Wenn auf ein SYN direkt ein RST kommt, kann das bedeuten:
Port geschlossen
Dienst läuft nicht
Host lehnt Verbindung ab
Firewall lehnt aktiv ab
falscher Zielport
Merksatz:
RST nach SYN heißt:
Verbindung wird aktiv abgelehnt.
Typisches Fehlerbild: DNS NXDOMAIN
NXDOMAIN bedeutet:
Name existiert nicht.
Mögliche Ursachen:
falscher Name
DNS-Zone fehlt
Tippfehler
interner DNS nicht genutzt
falscher Suchsuffix
Split DNS falsch
Merksatz:
NXDOMAIN heißt:
DNS kennt diesen Namen nicht.
Typisches Fehlerbild: DHCP Discover ohne Offer
Wenn ein Client DHCP Discover sendet, aber kein Offer erhält, kann das bedeuten:
DHCP-Server nicht erreichbar
DHCP-Relay fehlt
VLAN falsch
DHCP-Server down
Firewall blockiert
Scope voll
falsches Netzwerk
Merksatz:
Discover ohne Offer:
Client findet keinen antwortenden DHCP-Server.
Typisches Fehlerbild: TLS Alert
Ein TLS Alert zeigt, dass der TLS-Aufbau ein Problem hat.
Mögliche Ursachen:
Zertifikatproblem
falscher Hostname
inkompatible TLS-Version
inkompatible Cipher Suite
Client oder Server bricht ab
mTLS-Zertifikat fehlt
Merksatz:
TLS Alert deutet auf Problem im TLS-Handshake hin.
Typisches Fehlerbild: Viele Retransmissions
Viele Retransmissions können bedeuten:
Paketverlust
Überlastung
Firewall blockiert einzelne Pakete
Rückwegproblem
WLAN-Probleme
MTU-Probleme
schlechte Verbindung
Merksatz:
Viele Wiederholungen zeigen,
dass Bestätigungen fehlen.
Typisches Fehlerbild: ARP ohne Antwort
ARP-Anfragen ohne Antwort können bedeuten:
Ziel ist nicht im lokalen Netz
Ziel ist offline
VLAN falsch
falsche IP-Adresse
falsche Netzmaske
Gateway nicht erreichbar
IP-Konflikt
Merksatz:
ARP ohne Antwort zeigt lokale Erreichbarkeitsprobleme.
Sicherheit beim Speichern von Mitschnitten
Paketmitschnitte können sensible Daten enthalten.
Deshalb:
nur notwendige Dauer mitschneiden
Filter nutzen
Dateien sicher speichern
Zugriff beschränken
Mitschnitte nach Zweck löschen
keine Mitschnitte unnötig weitergeben
personenbezogene Daten beachten
Merksatz:
Mitschnittdateien wie sensible Daten behandeln.
PCAP-Dateien
Paketmitschnitte werden häufig als PCAP oder PCAPNG gespeichert.
Diese Dateien können später geöffnet und analysiert werden.
Vorteile:
- spätere Analyse möglich
- Weitergabe an Fachabteilung möglich
- Vergleich mit Logs möglich
- Dokumentation eines Fehlerfalls
Achtung:
PCAP-Dateien können vertrauliche Informationen enthalten.
Merksatz:
PCAP ist praktisch,
aber sensibel.
Was ein Paketmitschnitt nicht automatisch liefert
Ein Paketmitschnitt zeigt nicht automatisch:
warum ein Benutzer keine Berechtigung hat
warum eine Anwendung intern Fehler wirft
warum ein Passwort falsch ist
warum ein Serverprozess abgestürzt ist
welche Firewall-Regel intern entschieden hat
ob ein Zertifikat fachlich richtig beantragt wurde
Dafür braucht man zusätzlich:
Logs
Konfiguration
Berechtigungsprüfung
Dienststatus
Fachwissen
Merksatz:
Paketmitschnitt zeigt Verkehr,
aber nicht jede Ursache.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was versteht man unter Sniffing?
- Wofür nutzt man einen Paketmitschnitt?
- Was ist Wireshark?
- Was ist tcpdump?
- Was ist Port Mirroring?
- Warum sieht man in einem geswitchten Netzwerk nicht automatisch allen Verkehr?
- Was ist der Unterschied zwischen Capture Filter und Display Filter?
- Was sieht man bei einem TCP-Handshake?
- Was bedeuten SYN, SYN-ACK und ACK?
- Was bedeutet TCP Reset?
- Was bedeuten Retransmissions?
- Warum sieht man bei HTTPS den Inhalt nicht einfach im Klartext?
- Was kann man bei DNS im Mitschnitt erkennen?
- Was zeigt DHCP-DORA im Mitschnitt?
- Warum sind Paketmitschnitte sensibel?
Typische Prüfungsfallen
Sniffing zeigt echten Netzwerkverkehr.
Sniffing ist datenschutzrelevant.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
In geswitchten Netzen sieht man nicht automatisch alles.
Port Mirroring kopiert Verkehr auf Analyseport.
Promiscuous Mode allein reicht im Switch-Netz oft nicht.
Capture Filter begrenzt Aufnahme.
Display Filter begrenzt Anzeige.
Was nicht aufgezeichnet wurde,
kann später nicht analysiert werden.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet TCP-Verbindung.
SYN-ACK ist Serverantwort.
ACK bestätigt.
RST lehnt ab oder beendet.
Retransmission bedeutet erneutes Senden.
TLS schützt Inhalte.
HTTP ist lesbar,
HTTPS normalerweise nicht.
FTP und Telnet sind im Mitschnitt gefährlich sichtbar.
Mitschnittort ist entscheidend.
Logs und Mitschnitt ergänzen sich.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Sniffing | Mitschneiden von Netzwerkverkehr |
| Paketmitschnitt | Aufzeichnung von Paketen |
| Wireshark | grafisches Analysewerkzeug |
| tcpdump | Kommandozeilenwerkzeug für Mitschnitte |
| tshark | Wireshark auf Kommandozeile |
| PCAP | Datei mit Paketmitschnitt |
| Port Mirroring | Kopieren von Switch-Verkehr auf Analyseport |
| SPAN | Port-Mirroring-Begriff bei Switches |
| Promiscuous Mode | Netzwerkkarte nimmt fremde Frames an |
| Capture Filter | Filter vor der Aufnahme |
| Display Filter | Filter für Anzeige nach Aufnahme |
| SYN | TCP-Verbindungsstart |
| SYN-ACK | TCP-Antwort des Servers |
| ACK | Bestätigung |
| RST | Reset, aktive Ablehnung oder Abbruch |
| Retransmission | erneutes Senden eines Pakets |
| ARP | IPv4-Adresse zu MAC-Adresse |
| ICMP | Diagnose- und Fehlermeldungsprotokoll |
| SNI | Hostname im TLS-Handshake |
| TLS Alert | Fehlermeldung im TLS-Handshake |
| NXDOMAIN | DNS-Name existiert nicht |
| DORA | DHCP Discover, Offer, Request, Acknowledge |
IHK-sichere Kurzformulierung
Sniffing bezeichnet das Mitschneiden und Analysieren von Netzwerkverkehr. Mit Werkzeugen wie Wireshark, tcpdump oder Paketmitschnitten auf Firewalls kann geprüft werden, welche Pakete tatsächlich gesendet und empfangen werden. Dabei lassen sich unter anderem MAC-Adressen, IP-Adressen, Ports, Protokolle, TCP-Handshakes, DNS-Anfragen, DHCP-Abläufe, ICMP-Meldungen, TLS-Handshakes und Wiederholungen erkennen. In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr; dafür ist häufig Port Mirroring oder ein Mitschnitt an der richtigen Stelle nötig. Paketmitschnitte können sensible Daten enthalten und müssen deshalb sorgfältig und nur mit berechtigtem Zweck eingesetzt werden.
Merksätze
Sniffing = Netzwerkverkehr mitschneiden.
Paketmitschnitt zeigt echten Verkehr.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
tshark ist Wireshark für die Kommandozeile.
PCAP-Dateien enthalten Mitschnitte.
Mitschnitte können sensible Daten enthalten.
In geswitchten Netzen sieht man nicht automatisch alles.
Port Mirroring kopiert Verkehr.
Promiscuous Mode reicht allein oft nicht.
Capture Filter begrenzt Aufnahme.
Display Filter begrenzt Anzeige.
Mitschnittort ist entscheidend.
MAC-Adressen gehören zu Schicht 2.
IP-Adressen gehören zu Schicht 3.
Ports gehören zu Schicht 4.
DNS gehört zu Schicht 7.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet TCP-Verbindung.
SYN-ACK antwortet.
ACK bestätigt.
RST lehnt ab oder beendet.
Retransmission bedeutet erneutes Senden.
ARP löst IPv4 zu MAC auf.
ICMP liefert Diagnosehinweise.
DHCP-DORA ist im Mitschnitt sichtbar.
TLS schützt Inhalte.
HTTP ist lesbar.
HTTPS ist normalerweise nicht lesbar.
FTP und Telnet sind unsicher,
weil Inhalte sichtbar sein können.
Logs und Paketmitschnitt zusammen auswerten.