BDF402: Netzwerkforensik

Lernpfad Netzwerke

BDF402: Netzwerkforensik

Kurzporträt BDF402: Netzwerkforensik
Worum geht es? Dieses Modul behandelt Netzwerkforensik im Kontext der Digitalen Forensik. Im Mittelpunkt stehen insbesondere In der Veranstaltung werden zunächst die wichtigsten Grundlagen für die forensisch saubere Arbeitsweise vorgestellt. Hierbei werden theoretische Modelle und Anforderungen und ihre Anwendung in der Praxis beleuchtet; Weiterhin wird betrachtet, welche Voraussetzungen für eine erfolgreiche forensische Ermittlung gegeben sein müssen; Mit diesem Wissen ausgestattet, wird im weiteren Verlauf die Extraktion von digitalen Artefakten beschrieben. Insbesondere werden hier im Detail die Methoden der Netzwerkforensik vermittelt. Es wird das notwendige Hintergrundwissen zu den entsprechenden Technologien eingeführt, bevor im Anschluss mögliche Analysemethoden vorgestellt werden.
Wofür braucht man es? Netzwerkforensik macht Kommunikationsspuren auswertbar und hilft, Angriffswege, Datenabflüsse und Zusammenhänge zwischen Systemen technisch nachvollziehbar zu rekonstruieren.
Wieso ist es interessant? Das Modul verbindet fachliche Grundlagen mit anwendungsnahen Fragestellungen und zeigt, wie die behandelten Konzepte in realen digitalen Untersuchungs- und Sicherheitskontexten wirksam werden.
Modulverantwortung

Prof. Dr. Martin Grothe

Lehrperson(en)

Prof. Dr. Martin Grothe

Verwendbarkeit

Bachelor Digitale Forensik

Fächergruppe

Informatik

Modultyp
Pflicht
Sprache

Deutsch

Angebot

Sommersemester

Dauer

1 Semester

Credits

5 ECTS

Benotung

Deutsche Notenskala 1-5

SWS

2 V | - Ü | 2 P | - S

Workload
Präsenzstudium: 45 Std. Selbststudium: 90 Std.
Engl. Titel

Network Forensics

Empfohlene Voraussetzungen
  • BDF204: Forensische Methoden und Werkzeuge: forensische Akquise, Auswertung, Korrelation und Dokumentation digitaler Spuren.
  • BDF205: IT-Sicherheit: Angriffsarten, Schutzmaßnahmen, IDS/IPS und Sicherheitsarchitekturen.
  • BDF301: Betriebssysteme: Technik: Betriebssystemartefakte, Logging, Prozesse und Netzwerkkommunikation.
  • BDF302: Rechnernetze und Rechnernetzsicherheit: TCP/IP, Routing, Switching, Netzwerkdienste und Netzwerksicherheitsmechanismen.
Lernergebnisse / Kompetenzen
WAS

Die Studierenden können Netzwerkdaten forensisch erfassen, analysieren und sicherheitsrelevante Kommunikation nachvollziehbar interpretieren.

WOMIT

Die Studierenden erreichen dieses Lernergebnis, indem sie insbesondere folgende im PDF genannten Kompetenzen aufbauen:

  • auf forensisch saubere Art und Weise digitale Spuren zu sichern und auszuwerten
  • forensische Spuren zu finden, sie zu extrahieren und sinnvoll zu korrelieren
  • mit dem Wissen der zugrundeliegenden Theorie den Umgang mit ausgewählten Werkzeugen der IT-Forensik praktisch anzuwenden
  • die wichtigsten Schritte einer forensischen Untersuchung zu kennen und durchführen zu können
  • die für einen IT-Forensiker wichtigen Soft-Skills zu kennen
  • die Möglichkeiten und Grenzen der modernen IT-Forensik zu verstehen
WOZU

Damit sie in späteren Modulen, Projekten und beruflichen Aufgaben der Digitalen Forensik fachliche Entscheidungen begründet treffen, digitale Sachverhalte systematisch untersuchen und Ergebnisse nachvollziehbar kommunizieren können.

Inhalte
  • In der Veranstaltung werden zunächst die wichtigsten Grundlagen für die forensisch saubere Arbeitsweise vorgestellt. Hierbei werden theoretische Modelle und Anforderungen und ihre Anwendung in der Praxis beleuchtet
  • Weiterhin wird betrachtet, welche Voraussetzungen für eine erfolgreiche forensische Ermittlung gegeben sein müssen
  • Mit diesem Wissen ausgestattet, wird im weiteren Verlauf die Extraktion von digitalen Artefakten beschrieben. Insbesondere werden hier im Detail die Methoden der Netzwerkforensik vermittelt. Es wird das notwendige Hintergrundwissen zu den entsprechenden Technologien eingeführt, bevor im Anschluss mögliche Analysemethoden vorgestellt werden
  • Anschließend werden weitere Datenquellen für digitale Spuren dargestellt. Hierzu zählen beispielsweise Log-Daten, Betriebssystemdateien, wie z.B. die Windows-Registry, anwendungsspezifische Daten, wie bspw. Exif-Daten in Bildern oder Browser-Daten, sowie Inhalte und Metadaten von Datenbanksystemen
  • Nachdem vermittelt wurde, wie und wo digitale Spuren extrahiert und gesichert werden können, wird im nächsten Block vertieft, wie diese gesammelten Daten zur Beantwortung typischer Fragestellungen im Kontext von IT-forensischen Untersuchungen verwendet werden können. Hierzu werden Techniken zur Korrelation von digitalen Spuren aufgezeigt. Gleichzeitig werden Methoden zur schnellen Erstanalyse (Triage) vorgestellt sowie die Grundlagen des Similarity-Hashings. Darüber hinaus werden Techniken aus dem Bereich der Anti-Forensik vorgestellt und den Umgang hiermit
  • Für alle Inhalte werden neben den theoretischen Grundlagen stets auch die praktische Anwendbarkeit vermittelt. Daneben sind aber auch für die digitale Forensik eminente Soft-Skills wichtig, wie das zielgruppengerechte Präsentieren von Ermittlungsergebnissen, die Fähigkeit, Thesen mithilfe von digitalen Artefakten zu untermauern oder zu widerlegen, sowie eine strukturierte Vorgehens- und Denkweise bei forensischen Analysen
Prüfungsvorleistung

Testat

Prüfungsleistung

Studien-, Projekt- oder Hausarbeit (10 - 15 Seiten)

Literatur
  • Chris Sanders und Jason Smith: Applied Network Security Monitoring, Syngress, Waltham, 2014
  • Richard Bejtlich: The Practice of Network Security Monitoring, No Starch Press, San Francisco, 2013
  • Laura Chappell: Wireshark Network Analysis, Protocol Analysis Institute, San Jose, 2012
  • Gerald Combs und Ulf Lamping: Wireshark User’s Guide, Wireshark Foundation, 2024, https://www.wireshark.org/docs/wsug_html_chunked/