Communitygithub.com

Analysieren von Netzwerkverkehr mit Wireshark

Erfasst und analysiert Netzwerkpaketdaten mit Wireshark und tshark.

Was ist Analysieren von Netzwerkverkehr mit Wireshark?

Diese Fähigkeit ermöglicht es, Netzwerkverkehr mit Wireshark und tshark zu erfassen und detailliert zu analysieren. Sie ist für Sicherheitsanalysten und Netzwerkingenieure konzipiert, die Netzwerkangriffe untersuchen, Leistungsprobleme diagnostizieren, Malware-Kommunikationsmuster analysieren oder Firewall-Regeln validieren möchten. Die Fähigkeit unterstützt sowohl GUI-basierte als auch kommandozeilenorientierte Workflows und deckt den gesamten Prozess ab: von der Erfassungsumgebung über Display-Filter, protokollspezifische Tiefenanalyse, Extraktion von Artefakten und IOCs bis hin zur Erstellung von Berichten und Beweissicherung. Sie enthält umfangreiche tshark-Befehle für die praktische Anwendung und behandelt häufige Szenarien wie die Untersuchung von DNS-Tunneling zur Datenexfiltration. Die Fähigkeit setzt Grundkenntnisse in TCP/IP, HTTP, DNS und SMB voraus und erfordert entsprechende Berechtigungen für Live-Erfassungen.

Funktioniert mit~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/main/skills/analyzing-network-traffic-with-wireshark
Original anzeigen→Alle Skills durchsuchen

In Ihrer bevorzugten KI fragen

Öffnet einen neuen Chat, in dem dieser Agent-Skill bereits geladen ist.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Dokumentation

Was macht Analysieren von Netzwerkverkehr mit Wireshark?

Wann verwenden

  • Untersuchung von vermuteten Netzwerkeinbrüchen durch Analyse von Paketdaten auf Command-and-Control-Traffic, Datenexfiltration oder laterale Bewegung
  • Diagnose von Netzwerkleistungsproblemen wie Wiederholungen, Fragmentierung oder DNS-Auflösungsfehlern
  • Analyse von Malware-Kommunikationsmustern durch Erfassung von Traffic aus Sandbox- oder isolierten Hosts
  • Validierung von Firewall- und IDS-Regeln durch Überprüfung des tatsächlich fließenden Verkehrs auf Netzwerksegmenten
  • Extrahieren von Dateien, Anmeldeinformationen oder Indikatoren für Kompromittierung aus erfassten Netzwerksitzungen

Nicht verwenden, um Traffic ohne Autorisierung zu erfassen, private Kommunikation ohne rechtliche Grundlage abzufangen oder als Ersatz für vollwertige SIEM-Plattformen in der Produktionsüberwachung.

Voraussetzungen

  • Wireshark 4.0+ und das Kommandozeilen-Tool tshark installiert
  • Root-/sudo-Rechte oder Mitgliedschaft in der Gruppe wireshark für Live-Paketerfassung
  • Netzwerkschnittstellenzugriff (physische NIC, SPAN-Port oder Netzwerk-Tap) auf das zu überwachende Segment
  • Ausreichend Festplattenspeicher für Paketerfassungsdateien (ca. 1 GB pro Minute auf geschäftigen Gigabit-Links)
  • Vertrautheit mit TCP/IP-Protokollen, HTTP, DNS, TLS und SMB auf Paketebene

Arbeitsablauf

Schritt 1: Erfassungsumgebung konfigurieren

Richten Sie die Erfassungsschnittstelle und Filter ein, um relevanten Verkehr zu erfassen:

# Verfügbare Schnittstellen auflisten
tshark -D

# Erfassung auf eth0 mit einem Erfassungsfilter zur Begrenzung des Umfangs starten
tshark -i eth0 -f "host 10.10.5.23 and (port 80 or port 443 or port 445)" -w /tmp/capture.pcapng

# Erfassung mit Ringpuffer zur Verwaltung der Festplattennutzung (10 Dateien, je 100 MB)
tshark -i eth0 -b filesize:102400 -b files:10 -w /tmp/rolling_capture.pcapng

# Gleichzeitige Erfassung auf mehreren Schnittstellen
tshark -i eth0 -i eth1 -w /tmp/multi_interface.pcapng

Legen Sie für die Wireshark-GUI den Erfassungsfilter im Dialog „Capture Options“ fest, bevor Sie starten.

Schritt 2: Display-Filter für gezielte Analyse anwenden

# HTTP-Verkehr mit verdächtigen User-Agents filtern
tshark -r capture.pcapng -Y "http.user_agent contains \"curl\" or http.user_agent contains \"Wget\""

# DNS-Abfragen an verdächtige TLDs finden
tshark -r capture.pcapng -Y "dns.qry.name contains \".xyz\" or dns.qry.name contains \".top\" or dns.qry.name contains \".tk\""

# TCP-Wiederholungen identifizieren, die auf Netzwerkprobleme hinweisen
tshark -r capture.pcapng -Y "tcp.analysis.retransmission"

# SMB-Verkehr zur Erkennung lateraler Bewegung filtern
tshark -r capture.pcapng -Y "smb2.cmd == 5 or smb2.cmd == 3" -T fields -e ip.src -e ip.dst -e smb2.filename

# Übertragung von Klartext-Anmeldeinformationen finden
tshark -r capture.pcapng -Y "ftp.request.command == \"PASS\" or http.authbasic"

# Beaconing-Muster erkennen (regelmäßige Intervalle von Verbindungen)
tshark -r capture.pcapng -Y "ip.dst == 203.0.113.50" -T fields -e frame.time_relative -e ip.src -e tcp.dstport

Schritt 3: Protokollspezifische Tiefenanalyse

# Einen TCP-Stream verfolgen, um eine Konversation zu rekonstruieren
tshark -r capture.pcapng -q -z follow,tcp,ascii,0

# HTTP-Anfrage-/Antwortpaare analysieren
tshark -r capture.pcapng -Y "http" -T fields -e frame.time -e ip.src -e ip.dst -e http.request.method -e http.request.uri -e http.response.code

# DNS-Abfrage-/Antwortstatistiken extrahieren
tshark -r capture.pcapng -q -z dns,tree

# TLS-Handshakes auf schwache Cipher-Suiten analysieren
tshark -r capture.pcapng -Y "tls.handshake.type == 2" -T fields -e ip.src -e ip.dst -e tls.handshake.ciphersuite

# SMB-Dateizugriffsaufzählung
tshark -r capture.pcapng -Y "smb2" -T fields -e frame.time -e ip.src -e ip.dst -e smb2.filename -e smb2.cmd

Schritt 4: Artefakte und IOCs extrahieren

# HTTP-Objekte exportieren (über HTTP übertragene Dateien)
tshark -r capture.pcapng --export-objects http,/tmp/http_objects/

# SMB-Objekte exportieren (über SMB übertragene Dateien)
tshark -r capture.pcapng --export-objects smb,/tmp/smb_objects/

# Alle eindeutigen Ziel-IPs für Bedrohungsinformationsabfragen extrahieren
tshark -r capture.pcapng -T fields -e ip.dst | sort -u > unique_dest_ips.txt

# SSL/TLS-Zertifikatsinformationen extrahieren
tshark -r capture.pcapng -Y "tls.handshake.type == 11" -T fields -e x509sat.uTF8String -e x509ce.dNSName

# Alle aufgerufenen URLs extrahieren
tshark -r capture.pcapng -Y "http.request" -T fields -e http.host -e http.request.uri | sort -u > urls.txt

# Extrahierte Dateien für IOC-Abgleich hashen
find /tmp/http_objects/ -type f -exec sha256sum {} \; > extracted_file_hashes.txt

Schritt 5: Statistische Analyse und Anomalieerkennung

# Protokollhierarchiestatistiken
tshark -r capture.pcapng -q -z io,phs

# Konversationsstatistiken sortiert nach Bytes
tshark -r capture.pcapng -q -z conv,tcp -z conv,udp

# Top-Talker identifizieren
tshark -r capture.pcapng -q -z endpoints,ip

# IO-Graph-Daten (Pakete pro Sekunde)
tshark -r capture.pcapng -q -z io,stat,1,"COUNT(frame) frame"

# Portscan-Muster erkennen
tshark -r capture.pcapng -Y "tcp.flags.syn == 1 and tcp.flags.ack == 0" -T fields -e ip.src -e tcp.dstport | sort | uniq -c | sort -rn | head -20

Schritt 6: Berichte erstellen und Beweise exportieren

# Gefilterte Pakete zur Beweissicherung in eine neue PCAP exportieren
tshark -r capture.pcapng -Y "ip.addr == 10.10.5.23 and tcp.port == 4444" -w evidence_c2_traffic.pcapng

# Paketzusammenfassung im CSV-Format generieren
tshark -r capture.pcapng -T fields -E header=y -E separator=, -e frame.number -e frame.time -e ip.src -e ip.dst -e ip.proto -e tcp.srcport -e tcp.dstport -e frame.len > traffic_summary.csv

# PDML (XML)-Ausgabe für programmatische Analyse erstellen
tshark -r capture.pcapng -T pdml > capture_analysis.xml

# Capture-Datei-Hash für die Beweiskette berechnen
sha256sum capture.pcapng > capture_hash.txt

Schlüsselkonzepte

BegriffDefinition
Erfassungsfilter (BPF)Berkeley-Paketfilter-Syntax, die zum Erfassungszeitpunkt angewendet wird, um zu begrenzen, welche Pakete aufgezeichnet werden, wodurch Dateigröße reduziert und Leistung verbessert wird
Display-FilterWireshark-spezifische Filtersyntax, die auf bereits erfasste Pakete angewendet wird, um eine gezielte Analyse ohne Änderung der Erfassungsdatei zu ermöglichen
PCAPNGNächste Generation des Paketerfassungsformats, das mehrere Schnittstellen, Namensauflösung, Anmerkungen und Metadaten in einer einzigen Datei unterstützt
TCP-StreamNeu zusammengesetzte Sequenz von TCP-Segmenten, die eine vollständige bidirektionale Konversation zwischen zwei Endpunkten darstellt
Protokoll-DissectorWireshark-Modul, das die Felder und Struktur eines bestimmten Protokolls dekodiert und so eine tiefgehende Inspektion des Paketinhalts ermöglicht
IO-GraphZeitreihenvisualisierung von Paket- oder Bytedaten über die Erfassungsdauer, nützlich zur Identifizierung von Verkehrsspitzen oder Beaconing

Werkzeuge und Systeme

  • Wireshark 4.0+: GUI-basierter Paketanalysator mit Protokoll-Dissectoren für über 3.000 Protokolle, Stream-Wiederzusammenführung und Exportfunktionen
  • tshark: Befehlszeilenversion von Wireshark für Headless-Erfassung, Stapelverarbeitung und scriptgesteuerte Analyse-Pipelines
  • tcpdump: Leichtgewichtiges Paketerfassungstool für schnelle Erfassungen auf entfernten Systemen ohne GUI-Abhängigkeiten
  • mergecap: Wireshark-Dienstprogramm zum Zusammenführen mehrerer Erfassungsdateien in eine einzige PCAP für eine einheitliche Analyse
  • editcap: Wireshark-Dienstprogramm zum Aufteilen, Filtern und Konvertieren zwischen Erfassungsdateiformaten

Häufige Szenarien

Szenario: Untersuchung von vermuteter Datenexfiltration durch DNS-Tunneling

Kontext: Das SOC-Team hat ungewöhnlich hohe DNS-Abfragevolumen von einer Workstation (10.10.3.45) an eine externe Domain festgestellt. Der SIEM-Alarm markierte DNS-Abfragen mit durchschnittlich 200 pro Minute im Vergleich zur Baseline von 15. Eine Paketerfassung wurde vom Netzwerk-Tap im VLAN der Workstation aus gestartet.

Vorgehen:

  1. Erfassen Sie Traffic aus dem Subnetz der Workstation mit tshark -i eth2 -f "host 10.10.3.45 and port 53" -w dns_exfil_investigation.pcapng
  2. Analysieren Sie DNS-Abfragemuster: tshark -r dns_exfil_investigation.pcapng -Y "dns.qry.name contains \"suspect-domain.xyz\"" -T fields -e frame.time -e dns.qry.name
  3. Untersuchen Sie Subdomain-Labels auf codierte Daten (lange Base64-ähnliche Subdomains deuten auf Tunneling hin): tshark -r dns_exfil_investigation.pcapng -Y "dns.qry.type == 16" -T fields -e dns.qry.name -e dns.txt
  4. Berechnen Sie das Datenvolumen durch Summieren der Abfragenamenlängen, um die Exfiltrationsbandbreite zu schätzen
  5. Extrahieren Sie eindeutige Abfragenamen und decodieren Sie Base64-Subdomains, um exfiltrierte Inhalte wiederherzustellen
  6. Exportieren Sie Beweispakete in eine separate PCAP und generieren Sie einen SHA-256-Hash für die Beweiskette

Stolperfallen:

  • Erfassen von ungefiltertem Verkehr in einem geschäftigen Netzwerk und Verbrauch des Festplattenspeichers vor dem Sammeln relevanter Daten
  • Verwenden von Display-Filtern anstelle von Erfassungsfiltern, was zu sehr großen Dateien führt, die langsam zu verarbeiten sind
  • Übersehen von verschlüsseltem DNS-Verkehr (DoH/DoT), der die herkömmliche DNS-Erfassung auf Port 53 umgeht
  • Versäumnis, den Paketerfassungshash und die Dokumentation der Beweiskette für forensische Beweise zu erstellen

Ausgabeformat

## Traffic-Analysebericht

**Fall-ID**: IR-2024-0847
**Erfassungsdatei**: dns_exfil_investigation.pcapng
**SHA-256**: a3f2b8c1d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1
**Dauer**: 2024-03-15 14:00:00 bis 14:45:00 UTC
**Quellschnittstelle**: eth2 (VLAN 30 SPAN-Port)

### Ergebnisse

**1. DNS-Tunneling bestätigt**
- Quelle: 10.10.3.45
- Ziel-DNS: 8.8.8.8 (weitergeleitet an ns1.suspect-domain.xyz)
- Abfragevolumen: 9.247 Abfragen in 45 Minuten (205/min vs. Baseline 15/min)
- Durchschnittliche Subdomain-Label-Länge: 63 Zeichen (Base64-codierte Daten)
- Geschätzte exfiltrierte Datenmenge: ~2,3 MB über TXT-Eintrag-Antworten

**2. Indikatoren für Kompromittierung**
- Domain: suspect-domain.xyz (vor 3 Tagen registriert)
- Nameserver: ns1.suspect-domain.xyz (203.0.113.50)
- Abfragemuster: TXT-Eintrag-Anfragen mit Base64-codierten Subdomains
- Antwortmuster: TXT-Einträge mit Base64-codierten Payloads

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

abusing-dpapi-for-credential-access

Extract and decrypt Windows DPAPI-protected secrets (Credential Manager, browser logins/cookies, Wi-Fi credentials, KeePass keys) online or offline using SharpDPAPI, SharpChrome, Mimikatz, or Impacket

abusing-shadow-credentials-for-privesc

Take over Active Directory accounts by writing attacker-controlled public keys to msDS-KeyCredentialLink (Shadow Credentials) with pyWhisker, Whisker, or Certipy, then authenticate via PKINIT to recover the target

achieving-cmmc-level-2-compliance

>-

acquiring-disk-image-with-dd-and-dcfldd

Create forensically sound bit-for-bit disk images with dd or dcfldd on a Linux forensic workstation, preserving evidence integrity through hash verification (MD5/SHA) during acquisition. Use when imaging a suspect drive, USB device, or memory card for investigation, preserving volatile disk evidence during incident response, or producing a verified copy for legal or law-enforcement proceedings before any destructive analysis.

analyzing-active-directory-acl-abuse

Detect dangerous ACL misconfigurations in Active Directory using ldap3

analyzing-android-malware-with-apktool

Perform static analysis of Android APK malware using apktool for resource decompilation, jadx for Java source recovery, and androguard for manifest inspection, dangerous permission-combination detection, and identification of obfuscated code, dynamic code loading, and reflection-based API calls. Use to statically triage a suspicious APK without executing it or to build mobile malware detection rules.

analyzing-api-gateway-access-logs

Parses API Gateway access logs (AWS API Gateway, Kong, Nginx) to detect

analyzing-apt-group-with-mitre-navigator

Query ATT&CK data with attackcti, mitreattack-python, and stix2, then build MITRE ATT&CK Navigator layers and multi-layer heatmap overlays mapping one or more APT groups

analyzing-azure-activity-logs-for-threats

Queries Azure Monitor activity logs and sign-in logs via azure-monitor-query

analyzing-bootkit-and-rootkit-samples

Analyzes bootkit and advanced rootkit malware infecting the Master

analyzing-browser-forensics-with-hindsight

Parse Chromium-based browser databases with Hindsight to extract and correlate browsing history, downloads, cookies, cached content, autofill data, saved passwords, and extensions from Chrome, Edge, Brave, Opera, and Vivaldi into a unified timeline (XLSX, JSON, or SQLite output). Use during incident response, insider-threat investigations, or criminal cases when you need to reconstruct a user

analyzing-campaign-attribution-evidence

Systematically evaluate cyber-campaign evidence to attribute an operation to a threat actor, using the Diamond Model and Analysis of Competing Hypotheses (ACH) to weigh infrastructure overlaps, TTP consistency, malware code similarity, and timing/language artifacts into confidence-weighted attribution assessments. Use when an incident investigation needs a defensible attribution confidence level.

analyzing-certificate-transparency-for-phishing

Monitor Certificate Transparency logs using crt.sh and Certstream to

analyzing-cloud-storage-access-patterns

Detect abnormal access in AWS S3, GCS, and Azure Blob Storage by analyzing CloudTrail Data Events, GCS audit logs, and Azure Storage Analytics for after-hours bulk downloads, new-IP access, and API-call spikes (e.g. GetObject) via statistical baselines and time-series anomaly detection. Use when investigating suspected cloud data exfiltration or building related detection rules.

analyzing-cobalt-strike-beacon-configuration

Extract and analyze Cobalt Strike beacon configuration from PE files

analyzing-cobaltstrike-malleable-c2-profiles

Parse and analyze Cobalt Strike Malleable C2 profiles with dissect.cobaltstrike (profiles and beacon-payload configs) and pyMalleableC2 (AST parsing) to extract HTTP/DNS transforms, URIs, headers, sleep/jitter, and injection behavior, then generate network detection signatures. Use when reverse-engineering a captured malleable profile or building detections against Cobalt Strike Beacon traffic.

analyzing-command-and-control-communication

Analyzes malware C2 communication over HTTP, HTTPS, DNS, and custom

analyzing-cyber-kill-chain

Analyzes intrusion activity against the Lockheed Martin Cyber Kill Chain

analyzing-disk-image-with-autopsy

Perform comprehensive forensic analysis of raw (dd), E01, or AFF disk images with Autopsy and The Sleuth Kit, recovering deleted files, examining metadata and embedded artifacts, keyword searching, and building investigation timelines with visual reports. Use for structured analysis of a forensic disk image or when stakeholders need visual reports from evidence.

analyzing-dns-logs-for-exfiltration

Analyzes DNS query logs to detect data exfiltration via DNS tunneling,

Verwandte Skills

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community