Glossar

Verständliche Definitionen der Begriffe zu Paketmitschnitten und Netzwerkforensik aus unseren Anleitungen.

DNS-Tunneling: DNS-Tunneling transportiert Daten in DNS-Anfragen und -Antworten, meist in langen kodierten Subdomains einer Domain. Erkennbar ist es an Volumen und Namensform.
5-Tupel: Ein 5-Tupel identifiziert einen Netzwerk-Flow über Protokoll, Quelladresse, Quellport, Zieladresse und Zielport. Es ist der Schlüssel einer Verbindung.
IOC (Indicator of Compromise): Ein IOC ist ein beobachtbares Artefakt wie IP-Adresse, Domain, URL oder Datei-Hash, das mit schädlicher Aktivität verknüpft ist und anderswo gesucht wird.
JA3: JA3 ist ein TLS-Client-Fingerprint: der MD5-Hash von Version, Cipher Suites, Extensions, Kurven und Punktformaten eines ClientHello in Senderreihenfolge.
JA4: JA4 ist FoxIOs TLS-Client-Fingerprint: ein lesbares Präfix plus gekürzte SHA-256-Hashes sortierter Cipher Suites und Extensions, stabil bei Umordnung.
Link-Layer-Typ (LinkType / DLT): Der Link-Layer-Typ ist die Zahl in einer Capture-Datei, die angibt, wie der Anfang jedes Pakets zu dekodieren ist: Ethernet, Linux Cooked, Raw IP, Loopback usw.
pcap: pcap ist das klassische Paketmitschnitt-Format: ein 24-Byte-Header, gefolgt von Paketeinträgen mit Zeitstempel, mit einem Link-Typ und einer Snaplen pro Datei.
pcapng: pcapng (PCAP Next Generation) ist ein blockbasiertes Mitschnittformat mit mehreren Interfaces, Zeitstempelauflösung pro Interface und Metadaten.
Snaplen (Snapshot-Länge): Die Snaplen ist die maximale Zahl an Bytes, die ein Mitschnitt pro Paket speichert; der Rest wird bei der Aufzeichnung verworfen und ist verloren.
SNI (Server Name Indication): SNI ist die TLS-Extension, in der ein Client den gewünschten Server-Hostnamen nennt. Im ClientHello sichtbar, zeigt sie das Ziel verschlüsselter Sitzungen.
TCP-Reassemblierung: Die TCP-Reassemblierung rekonstruiert den Bytestrom einer TCP-Verbindung aus aufgezeichneten Segmenten und behandelt Retransmissions, Umordnung und Lücken.
TLS-ClientHello: Der ClientHello ist die erste Nachricht des TLS-Handshakes. Er wird unverschlüsselt gesendet und listet Versionen, Cipher Suites, Extensions, SNI und ALPN auf.