Cybersicherheitsanalyse mit Wireshark und Tshark ist ein Einsteigerkurs mit 30 angeleiteten Labs zur Paketanalyse. Sie lernen den gesamten Ablauf einer Erfassung: von der Schnittstellenauswahl und Live-Aufzeichnung bis zum Filtern, Extrahieren, Zusammenfassen, Exportieren, Rotieren, Komprimieren und Debuggen von Paketdaten.
TShark-Abläufe in der Kommandozeile bilden den Kern, mehrere Labs öffnen jedoch auch die Wireshark-Desktopoberfläche für HTTP-, DNS-, IPv6-, WLAN-, SMB- und Lua-Aufgaben. Die Übungen verbinden vorbereitete Mitschnitte mit Live-Traffic im Lab und stellen reproduzierbare Offlineanalyse der Echtzeitbeobachtung gegenüber.
Was du lernen wirst
Nach Abschluss dieses Kurses können Sie:
- Erfassungsschnittstellen auflisten, Live-Traffic mitschneiden, BPF-Erfassungsfilter anwenden, Paketanzahl und Snapshot-Länge begrenzen und PCAP- oder komprimierte Dateien speichern
- Paketzusammenfassungen und Protokolldetails lesen, Zeitstempel- und Hexadezimalansichten anpassen und Zwei-Pass-Analyse verwenden
- Anzeigefilter anwenden, Traffic auf ungewöhnlichen Ports dekodieren, Dissectoren aktivieren oder deaktivieren und gefilterte Paketteilmengen exportieren
- TCP-Konversationen und -Streams, Übertragungswiederholungen, DNS-Aktivität, IPv6-Traffic, HTTP-Anfragen und -Objekte, WLAN-Frames und SMB-Antwortzeiten analysieren
- Ausgewählte Felder als CSV oder JSON extrahieren, Protokollstatistiken erzeugen und Ausgaben durch
grepundwcleiten - Große oder kontinuierliche Mitschnitte mit Teilmengen, Ringpufferrotation, Komprimierung, Live-Aktualisierung, Performance-Timern und Diagnoseprotokollen verwalten
- Ein Lua-Skript laden und Argumente übergeben, um die Paketverarbeitung zu erweitern und eigene Ausgaben zu erfassen
Für wen dieser Kurs geeignet ist
Der Kurs richtet sich an Junior-Sicherheitsanalysten, Netzwerk- und Systemadministratoren, IT-Supportkräfte und Lernende, die strukturiert mit Paketmitschnitten und dem Wireshark-Werkzeugsatz üben möchten.
Voraussetzungen: Grundkenntnisse zu IP-Adressen, TCP- und UDP-Ports, DNS, HTTP und dem Linux-Terminal werden empfohlen. Vorerfahrung mit Wireshark oder TShark ist nicht nötig; die Labs führen Optionen schrittweise ein, setzen später aber deren Kombination voraus.
Lernumgebung: Alle 30 angeleiteten Labs laufen in einer privilegierten Ubuntu-22.04-Desktopumgebung mit Terminalzugriff, PCAP-Dateien und Lab-Erfassungsschnittstellen. Einige Übungen verwenden sudo, Live-Mitschnitte, Wireshark-Fenster oder Monitormodus. Erfassen Sie Traffic nur im Lab oder in ausdrücklich freigegebenen Netzwerken.
Häufig gestellte Fragen
Lehrt der Kurs die Wireshark-Oberfläche oder nur TShark?
Beides, mit Schwerpunkt auf TShark. Die meisten Ziele nutzen Kommandozeilenoptionen für reproduzierbare Mitschnitte und Analysen; ausgewählte Labs verwenden Wireshark-Fenster und Filter für HTTP, DNS, IPv6, WLAN, Dienststatistiken und Lua. Es ist keine vollständige Tour durch alle GUI-Bereiche und Menüs.
Brauche ich vor Kursbeginn Netzwerkerfahrung?
Berufserfahrung ist nicht nötig, grundlegendes TCP/IP-Vokabular aber hilfreich. Der Kurs vermittelt Werkzeugoperationen und erklärt Ethernet, TCP-Handshake, DNS, HTTP, IPv6 und SMB nicht von den Grundlagen an.
Arbeite ich mit Live-Traffic oder nur mit gespeicherten PCAP-Dateien?
Mit beidem. Einige Labs erfassen Schnittstellen und überwachen Aktualisierungen in Echtzeit; andere lesen vorbereitete oder zuvor erzeugte Dateien, damit Filter, Streams, Exporte, Statistiken, Performance und Debugging reproduzierbar bleiben.
Ist dies ein vollständiger Kurs für SOC, Threat Hunting oder Netzwerkforensik?
Nein. Er entwickelt breite praktische Sicherheit mit Wireshark und TShark und enthält Fehler- und Anomaliefilter, behandelt aber keine Abschlussuntersuchung, Angreifertaktiken, Alarmtriage, TLS-Entschlüsselung, Malware-Traffic, Beweisprozesse oder Vorfallberichte in der Tiefe.
