Glossar
5-Tupel
Ein 5-Tupel identifiziert einen Netzwerk-Flow über Protokoll, Quelladresse, Quellport, Zieladresse und Zielport. Es ist der Schlüssel einer Verbindung.
Ein 5-Tupel ist die Menge der fünf Werte, die einen Netzwerk-Flow identifizieren: Transportprotokoll (TCP oder UDP), Quell-IP-Adresse, Quellport, Ziel-IP-Adresse und Zielport. Alle Pakete mit demselben 5-Tupel gehören, in beiden Richtungen, zur selben Verbindung; so fassen Capture-Tools Pakete zu Flows zusammen und zählen Bytes pro Richtung.
In der Triage ist das 5-Tupel die Einheit, über die man pivotiert: von einer DNS-Antwort zur folgenden Verbindung, von einer Verbindung zu ihren HTTP-Anfragen oder ihrem TLS-Handshake. Ports werden mit der Zeit wiederverwendet, daher nutzen Tools auch Zeitstempel und TCP-Handshakes, um aufeinanderfolgende Flows mit demselben 5-Tupel zu trennen. Die Ansicht Conversations in PCAP Parser zeigt eine Zeile pro 5-Tupel; siehe PCAP Parser nutzen.