Glossar
TCP-Reassemblierung
Die TCP-Reassemblierung rekonstruiert den Bytestrom einer TCP-Verbindung aus aufgezeichneten Segmenten und behandelt Retransmissions, Umordnung und Lücken.
Die TCP-Reassemblierung rekonstruiert aus den einzelnen Segmenten eines Mitschnitts den geordneten Bytestrom, den jede Seite einer TCP-Verbindung gesendet hat. Segmente können in falscher Reihenfolge ankommen, erneut übertragen werden oder ganz fehlen; ein Reassembler ordnet sie deshalb nach Sequenznummer, entfernt doppelte Bytes und vermerkt Lücken, wo Daten nie aufgezeichnet wurden.
Erst die Reassemblierung macht Analysen auf Anwendungsebene möglich: Eine HTTP-Antwort oder eine Dateiübertragung erstreckt sich meist über viele Pakete. Fehlende Bytes durch eine kleine Snaplen oder verlorene Pakete erscheinen als Lücken und hinterlassen unvollständige extrahierte Dateien. PCAP Parser reassembliert TCP-Streams in Sequenzreihenfolge und meldet fehlende Bytes, statt sie zu verbergen; sein Rundgang zeigt, wo.