CDI-Handbuch

Traffic-Analyse (Wireshark)
Wireshark ist ist ein sogenannter Traffic-Sniffer, der Netzwerkverkehr
„abschnüffeln“ und schließlich sortieren und anderweitig aufbereiten
kann. Sie können Wireshark beispielsweise dazu benutzen, den Verkehr
eines Smart TVs (der Werbung von den Servern des Herstellers nachlädt)
zu analysieren oder mit Schadsoftware infizierte Windows-Rechner, die
Spam verschicken zu identifizieren. Um den vollen Funktionsumfang
von Wireshark nutzen zu können, sollten sowohl der zu analysierende
Rechner als auch der PC, auf dem Sie das CDI Forensik-System gestartet
haben, mit demselben Netzwerk-Switch verbunden sein. Ist dies nicht
möglich (beispielsweise weil das zu analysierende Gerät nur über eine
WLAN-Schnittstelle verfügt), können Sie – im Falle dass der WLAN-
Accesspoint die Pakete nicht zum Forensik-Rechner durchreicht – den
DSL-Router die Netzwerkpakete mitschneiden lassen und diese unter
Wireshark analysieren.
Wireshark begrüßt Sie mit einer Liste der Netzwerkschnittstellen. Suchen
Sie hier die Schnittstelle aus, von der Traffic mitgeschnitten werden
soll, in der Regel ist dies „eth0“ oder „eth1“ (die erste und die zweite
Ethernetschnittstelle). Klicken Sie dann auf die grüne Haifischflosse,
die mit „Start“ beschriftet ist. Sie sehen nun die aktuell übers Netzwerk
laufenden Pakete und deren Absender sowie Empfänger in Echtzeit. Mit
35