PRODUKTSCHULUNG: Wireshark

Wireshark ist ein führendes Open-Source-Netzwerkanalyse-Tool, das für die Überwachung und Analyse des Netzwerkverkehrs in Echtzeit verwendet wird. Wireshark unterstütz sowohl das Live-Capturing als auch die offline analyse von Tracefiles diverser Format. Gerade die Wireshark Benutzeroberfläche und das arbeiten mit der Software erfordern Übung.  und kontinuierliche Benutzung.

• Netzwerkadministratoren, IT-Support- und Troubleshooting-Personal
• Systemadministratoren, die Einblicke in Netzwerk- und Protokollanalyse gewinnen möchten
• Sicherheitsverantwortliche, die Netzwerkverkehr verstehen und Schwachstellen erkennen wollen
• IT-Fachkräfte, die Netzwerkprobleme analysieren und beheben müssen

‍
Für einen möglichst hohen Lernerfolg und eine effektive Nutzung von Wireshark werden grundlegende Kenntnisse in Netzwerktechnologien (z. B. OSI-Modell, TCP/IP) empfohlen. Diese Basis wird im Rahmen der Schulung gefestigt und erweitert, sodass die Teilnehmenden Protokollfunktionen und mögliche Fehlfunktionen gezielt erkennen und analysieren können.

Einführung in die Netzwerk-Protokollanalyse

• Begrüßung und Vorstellung der Schulungsziele
• Rolle der Protokollanalyse in der IT-Landschaft
• Typische Anwendungsbereiche von Wireshark (Troubleshooting, Performance, Security)
• Wiederholung wichtiger Netzwerk-Konzepte (OSI-Modell, TCP/IP-Stack)

Wireshark-Grundlagen

• Installation und Konfiguration (WinPcap, npcap, Zugriffsrechte)
• Benutzeroberfläche und Grundfunktionen
  • Menüs, Werkzeugleisten und Panels (Packet List, Packet Details, Packet Bytes)
  • Capture- und Display-Filter: Syntax und Einsatz
  • Coloring Rules für eine schnellere Analyse

Paket-Capturing und Filtertechniken

• Unterschied zwischen Capture-Filter und Display-Filter
• Wann ist welcher Filter sinnvoll?
• Beispiele (host, port, tcp, udp)
• Strategien für effektives Capturing (Hardware Analyse vs Software-Analyzer)
• Selektives Capturing, Ring Buffer, Nutzbarkeit für große Netze
• Praktische Übung: Definieren von Capture-Filtern für spezifische Szenarien und erste Analysen

Protokollstrukturen und Basis-Analyse

• Wichtige Netzwerkprotokolle: Ethernet, ARP, IPv4/IPv6, TCP, UDP, ICMP
• Verbindungsaufbau (TCP 3-Way-Handshake), Sequenznummern, Retransmissions
• Identifikation von Netzwerkfehlern (fehlende SYN/ACK, Retransmissions, ICMP Errors)
• Praktische Übung: Kurze Analyse von Paket-Flows, Erkennen von Retransmissions und Timeouts

Protokollstrukturen und Basis-Analyse

• Erweiterte Filter und Analyse
• Expression Builder nutzen
• Negative Filter und komplexe Filterlogik
• Follow Stream (TCP/UDP) – Datenströme effizient verfolgen (z. B. HTTP, TLS)
• Statistiken und Graphen
• I/O Graph, Flow Graph
• Gesprächspartner-Analyse (Endpoints, Conversations)
• Protokoll-Hierarchie-Statistiken

Anwendungsprotokolle und Troubleshooting

• Analyse gängiger Anwendungsprotokolle: HTTP/HTTPS, DNS, DHCP, FTP, SMTP/POP3/IMAP
• Einschränkungen bei verschlüsselten Protokollen, Diensten und Anwendungen
• Typische Troubleshooting-Szenarien
• DNS-Zeitüberschreitungen
• DHCP-Probleme
• Langsame HTTP-Verbindungen
  Verbindungsabbrüche
• Erkennen von Performance-Problemen (Latenzen, Paketverluste, Window Size, Retransmissions)

Praktische Übung (TraceFile-Analyse) – ab ca. Mitte des zweiten Tages

• Szenario-Beschreibung: Alle Teilnehmer erhalten ein vorbereitetes TraceFile mit verschiedenen Aufgaben und Fragestellungen (z. B. DNS-Auflösungsfehler, Retransmissions, Performance-Engpässe)
• Gruppenarbeit: Die Teilnehmer analysieren das TraceFile systematisch mit Filtern, Statistiken und erweiterten Wireshark-Funktionen
• Ergebnispräsentation und Diskussion:
  
  • Gemeinsame Besprechung der Lösungswege
  • Vergleich der Vorgehensweisen
  • Interpretation der Resultate

Best Practices, Tipps & Tricks, Ausblick

• Empfehlungen für einen effizienten Analyse-Workflow
• Best Practices im Troubleshooting-Alltag
  • Organisierte Benennung und Archivierung von Capture-Files
  • Dokumentation von wiederverwendbaren Filter-Snippets
• Ausblick auf erweiterte Themen
• Remote Capture
• Integration mit anderen Tools (Splunk, SIEM-Lösungen)
• Fragen und offene Diskussion