Seminar Zeek Log-Analyse und Protokollauswertung

Das Seminar konzentriert sich auf das Lesen und Verbinden von Zeek-Logs. Ziel ist die Fähigkeit, aus strukturierten Netzwerkdaten belastbare Fragen zu beantworten und Verdachtsmomente nachvollziehbar einzugrenzen.

Inhaltsverzeichnis

1. Analysemodell
2. conn.log als Dreh- und Angelpunkt
3. DNS, HTTP und TLS
4. Dateien und Notices
5. Korrelation und Fallarbeit

Zielgruppe

SOC-Analysten, Incident Responder, Administratoren und Threat Hunter

Voraussetzungen

Grundlagen in TCP/IP und erste Erfahrung mit Logdaten; Zeek-Grundlagen sind vorteilhaft

Schrittweise Seminarinhalte

1. Analysemodell

• Fragestellung, Datenlage und Hypothese voneinander trennen
• Logquellen nach Aussagekraft und Grenzen bewerten
• Filter- und Sortierstrategien für große Logmengen festlegen

2. conn.log als Dreh- und Angelpunkt

• Verbindungen, Rollen, Services, Dauer, Bytes und States interpretieren
• Scans, ungewöhnliche Ports und auffällige Kommunikationsmuster identifizieren
• UIDs als Verknüpfungspunkt verwenden

3. DNS, HTTP und TLS

• DNS-Abfragen, Antworten, NXDOMAIN-Muster und ungewöhnliche TLDs prüfen
• HTTP-Methoden, Hostheader, URIs und Statuscodes analysieren
• TLS-Versionen, SNI, Zertifikate und JA3/JA3S-Kontext bewerten

4. Dateien und Notices

• files.log, Hashes, MIME-Typen und Transferkontext auswerten
• Notice-Daten fachlich einordnen
• False Positives von belastbaren Auffälligkeiten unterscheiden

5. Korrelation und Fallarbeit

• Mehrere Logs entlang einer Zeitachse verbinden
• Von einem IOC zu vollständigen Kommunikationsbeziehungen navigieren
• Analyseergebnisse knapp und prüfbar dokumentieren

Praxisübungen

• Auswertung eines mehrprotokolligen PCAP-Falls
• Korrelation von DNS-, TLS- und HTTP-Aktivitäten
• Kurze Fallnotiz mit Belegen aus Zeek-Logs

Methodischer Schwerpunkt

Die Analyse folgt dem klassischen Handwerk: erst Daten lesen, dann deuten, zuletzt bewerten.