Netzwerkforensik
Netzwerkforensik
Network Forensics
Netzwerkforensik ist die Untersuchung von Netzwerkverkehr und -aufzeichnungen, um einen Angriff zu rekonstruieren — welche Verbindungen bestanden, welche Daten flossen, mit welchen Gegenstellen kommuniziert wurde. Sie betrachtet die Spuren, die ein Angreifer im Netz hinterlässt, statt nur die auf einem Endgerät. Oft ist sie der Schlüssel, um Datenabfluss und Steuerung (C2) nachzuweisen.
Historie & Fakten. Im Gegensatz zur Datenträgerforensik untersucht die Netzwerkforensik flüchtige Spuren: Verbindungsdaten, Protokollmitschnitte und Metadaten. Quellen sind unter anderem vollständige Paketmitschnitte (PCAP), Flussdaten und die Protokolle von Sicherheitssensoren. Weil viele Angriffe irgendwann nach außen kommunizieren — zum Nachladen, zur Steuerung oder zum Datenabzug —, lässt sich hier oft nachweisen, was am Endpunkt verschleiert wurde. Die Beweise existieren allerdings nur, wenn der Verkehr zuvor aufgezeichnet wurde.
Ausblick & Empfehlung. Der praktische Engpass ist die Aufzeichnung: Was nicht erfasst wurde, lässt sich nicht nachträglich analysieren. Eine kontinuierliche Netzbeobachtung (NDR/NSM) schafft die Datengrundlage und deckt gerade dort Vorgänge auf, wo am Endpunkt kein Agent läuft — etwa bei OT, IoT oder unverwalteten Geräten. Zunehmende Verschlüsselung verlagert den Fokus dabei von Inhalten hin zu Metadaten und Verhaltensmustern.