Bitte wählen Sie die Bereiche, die Sie exportieren möchten:
Schulung Wireshark Aufbau: TCP/IP-, Protokoll- und Sicherheits-Analyse
TCP/IP, HTTP/3, JA3/JA4, Stratoshark, Cloud-Welt
Schulungsformen
Inhouse-/Firmenschulung
- 5 Tage - anpassbar
- Termin nach Wunsch
- In Ihrem Hause oder bei der GFU
- Preis nach Angebot
- Lernumgebung in der Cloud
- Inhalte werden auf Wunsch an die Anforderungen Ihres Teams angepasst.
Individualschulung
- 5 Tage - anpassbar
- Termin nach Wunsch
- In Ihrem Hause oder bei der GFU
- Preis nach Angebot
- Lernumgebung in der Cloud
- 1 Teilnehmender = Fokus aufs Fachliche und maximaler Raum für individuelle Fragen.
Beschreibung
Der Wireshark Aufbau ist die tiefste Wireshark-Schulung im GFU-Portfolio. Fünf Tage geben Raum für anspruchsvolle Themen, die in einer 3-Tage-Schulung nur angerissen werden können: tiefe TCP-Welt mit moderner Congestion Control (BBR, Cubic), komplette HTTP-Versions-Familie inklusive HTTP/3-QUIC-Profi-Analyse, Sicherheits-Tiefe mit JA3/JA4 und ETA-Methodik, Cloud- und Kubernetes-Sichtbarkeit, eigene Lua-Dissektoren, tshark-Pipelines und Profi-Werkzeug-Welt jenseits Wireshark.
Jeder Tag schließt mit einer umfangreichen Praxis-Werkstatt. Verweise auf die GFU-Schwester-Workshops „Suricata" (3T), „Cilium" (3T) und „Stratoshark Einführung" (1T) zeigen klare Vertiefungs-Pfade in benachbarte Profi-Welten.
Schulungsziel
Jede teilnehmende Person verlässt das Seminar mit einer produktiven Profi-Capture-Aufstellung mit gespeicherten Profilen aus Praxis-Übung 1, einer Performance-Analyse-Methodik aus Praxis-Übung 2, einer vollständigen Analyse-Kette für moderne Anwendungs-Protokolle (HTTP/3, DoH, TLS 1.3) aus Praxis-Übung 3, einer Sicherheits-Forensik-Erfahrung mit verschlüsseltem Verkehr (JA4, ETA) und einem professionellen Bericht aus Praxis-Übung 4, einem eigenen produktiven Lua-Dissektor mit tshark-Pipeline aus Praxis-Übung 5, einem Überblick über Wireshark in Cloud- und Container-Welten mit Vertiefungs-Verweis auf Cilium, einer Einführung in Stratoshark als Schwester-Werkzeug mit Vertiefungs-Verweis und klaren Verweisen auf die Profi-Welten Suricata, Zeek und Arkime.
Details
Inhalt
- Ziele und Erwartungen der Teilnehmenden
- Klärung individueller Lernziele und Erwartungen für ein praxisnahes und relevantes Seminar
- Tag 1: Capture-Strategien und Filter-Profi-Welt
- 1. Wireshark 2026 und Werkzeug-Welt
- Wireshark 4.x mit HTTP/3, TLS 1.3, Sequence-Diagram-Ansicht
- Werkzeug-Welt: Wireshark, tshark, dumpcap, tcpdump, pktmon, Stratoshark
- Markt-Umfeld: Suricata, Zeek, Arkime, Cilium/Hubble als ergänzende Werkzeuge
- Rechtlicher Rahmen, White-Hat-Ethik, DSGVO und Mitbestimmung
- 2. Capture-Strategien in Profi-Tiefe
- Capture-Positionierung (Port Mirroring, TAPs, Inline-Welt, virtuelle Netze)
- Profi-Aufbau mit dedizierten Capture-Servern und SPAN-Architekturen
- Ring-Buffer für Langzeit-Aufnahmen, Capture-Größe und Datei-Rotation
- pcap-NG-Format mit erweiterten Metadaten
- dumpcap-Profi-Welt für hochvolumige Capture-Aufstellungen
- 3. Filter, Statistiken und Expert-Information
- Capture-Filter (BPF-Syntax) und Display-Filter in Tiefe
- Komplexe Filter-Ausdrücke mit Funktions-Welt
- Filter-Profile, Farb-Markierungen, gespeicherte Sichten
- Statistik-Welt: Conversations, Endpoints, I/O-Graphen, Flow-Diagramme
- Expert-Information für Anomalie-Erkennung
- Praxis-Übung 1: Aufbau einer Profi-Capture-Welt
- Ziel: Eine produktiv-taugliche Capture-Aufstellung mit Profi-Filtern und Statistik-Sichten
- Projekt: dedizierten Capture-Server in einer simulierten Welt einrichten, Ring-Buffer mit Datei-Rotation aufbauen, komplexe Filter-Profile mit drei verschiedenen Anwendungs-Fällen anlegen (Performance, Sicherheit, Anwendungs-Diagnose), Statistik-Dashboards in Wireshark gestalten
- Anforderungen: Capture-Aufstellung mit mindestens 1 GB Ring-Buffer, drei Filter-Profile mit Farb-Markierungen, drei Statistik-Sichten pro Profil
- Tools: Wireshark 4.x, dumpcap, tshark, eine simulierte Multi-Host-Welt
- Ergebnisse: dokumentierte Profi-Capture-Aufstellung mit gespeicherten Profilen
- Tag 2: TCP/IP-Tiefe und Performance-Analyse
- 4. Layer 2 und Layer 3 in Tiefe
- Ethernet, VLAN, QinQ, Spanning Tree (BPDUs)
- ARP, Gratuitous ARP, ARP-Spoofing-Erkennung
- IPv4 und IPv6 (Fragmentierung, Optionen, Extension Headers)
- ICMP und ICMPv6 für Diagnose und Pfad-MTU-Discovery
- Multicast-Welt (IGMP, MLD)
- 5. TCP in Profi-Tiefe
- TCP-Handshake im Detail (Initial Sequence Numbers, MSS, Window Scaling)
- Re-Transmissions, Selective ACK, Spurious Re-Transmissions
- Moderne Congestion Control (Reno, Cubic, BBR) und Erkennung in Wireshark
- TCP-Optionen (Timestamps, SACK, Multipath TCP)
- TCP-Performance-Probleme (Bufferbloat, Window-Limits, Receive-Window-Auto-Tuning)
- 6. UDP, QUIC und Performance-Diagnose
- UDP-Analyse mit Anwendungs-Bezug (DNS, NTP, SIP, RTP)
- QUIC als Transport-Welt unter HTTP/3
- Wireshark-Performance-Sichten (I/O-Graphen, TCP-Stream-Graph, Round-Trip-Time)
- Latenz- versus Durchsatz-Probleme unterscheiden
- Tuning-Empfehlungen aus Wireshark-Analyse ableiten
- Praxis-Übung 2: Performance-Diagnose in TCP/IP
- Ziel: Eine reale Performance-Welt analysieren und konkrete Tuning-Vorschläge ableiten
- Projekt: eine vorbereitete Capture-Datei mit langsamen TCP-Verbindungen analysieren, Engpässe identifizieren (Window-Scaling, Re-Transmissions, Bufferbloat), Congestion-Control-Verhalten erkennen, Verbesserungs-Empfehlungen formulieren
- Anforderungen: TCP-Stream-Graph-Sicht, I/O-Graph-Analyse, dokumentierte Engpässe mit Empfehlung
- Tools: Wireshark 4.x mit Performance-Sichten, vorbereitete Capture-Dateien
- Ergebnisse: dokumentierte Performance-Analyse mit Tuning-Empfehlungen
- Tag 3: Anwendungs-Protokolle 2026
- 7. HTTP-Welt 2026: HTTP/1.1, HTTP/2 und HTTP/3 über QUIC
- HTTP/1.1-Analyse als Klartext-Welt (Standard für Lern-Zwecke)
- HTTP/2 mit Multiplexing, HPACK-Header-Komprimierung, Server Push
- HTTP/3 über QUIC: Verschlüsselung auf Transport-Ebene, andere Sichtbarkeits-Welt
- Performance-Vergleich der drei Versionen
- TLS-Schlüssel-Logging über SSLKEYLOGFILE für Test-Welten
- 8. DNS-Welt 2026: klassisches DNS, DoH, DoT, DoQ
- Klassische DNS-Analyse (Anfrage, Antwort, Cache-Verhalten)
- DNS over HTTPS (DoH) und DNS over TLS (DoT)
- DNS over QUIC (DoQ) als kommender Standard
- DNSSEC-Validierung und EDNS-Erweiterungen
- DNS-basierte Anomalien (Tunneling, Beaconing, DGA)
- 9. TLS-Welt 2026: TLS 1.2, TLS 1.3 und Encrypted Client Hello
- TLS-Handshake-Analyse im Detail
- Unterschiede TLS 1.2 versus TLS 1.3 (weniger Round-Trips, mehr Verschlüsselung)
- Encrypted Client Hello (ECH) und die Sichtbarkeits-Verschiebung
- Zertifikat-Welt, OCSP-Stapling, Certificate Transparency
- Profi-Werkstatt: SSLKEYLOGFILE für eigene Test-Welten
- Praxis-Übung 3: Moderne Anwendungs-Protokoll-Analyse
- Ziel: Eine moderne Web-Anwendungs-Welt vollständig analysieren - von DNS-Auflösung über TLS-Handshake bis HTTP-Antwort
- Projekt: einen Browser-Aufruf einer modernen Website (z.B. mit HTTP/3-Unterstützung) komplett analysieren - mit klassischem DNS und DoH im Vergleich, mit TLS-1.3-Handshake, mit HTTP/3-Verkehr
- Anforderungen: vollständige Analyse-Kette dokumentieren, Performance pro Versions-Pfad messen, Sichtbarkeits-Grenzen bei DoH und HTTP/3 dokumentieren
- Tools: Wireshark 4.x, curl mit HTTP/3-Unterstützung, Firefox mit DoH, lokaler DoH-Resolver für Vergleich
- Ergebnisse: dokumentierte vollständige Analyse-Kette mit Sichtbarkeits-Bewertung
- Tag 4: Sicherheits-Analyse und verschlüsselter Verkehr
- 10. JA3, JA4 und Fingerprinting-Welt
- JA3 als klassisches TLS-Fingerprinting (TLS 1.2-Welt)
- JA4 als Nachfolger mit besserer TLS-1.3- und QUIC-Unterstützung (Standard seit 2023)
- Fingerprinting für Malware-Familien, Botnet-Kommunikation, Browser-Erkennung
- Anbindung an Threat-Intelligence-Quellen
- Profi-Werkstatt: JA4-Extraktion in Wireshark mit Lua-Dissektor
- 11. Encrypted Traffic Analysis und Sicherheits-Anomalien
- ETA-Methodik: Heuristik über Verkehrs-Volumen, Paket-Größen-Verteilung, Timing-Muster
- DDoS-Erkennung (Volumen-Anomalien, SYN-Floods, Amplification-Angriffe)
- Beaconing-Erkennung (regelmäßige Kommunikations-Muster)
- DNS- und HTTP-Tunneling (Daten-Exfiltration über Protokolle)
- WireGuard- und VPN-Erkennung in verschlüsseltem Verkehr
- 12. Forensik-Welt und Bericht-Erstellung
- Gerichtsfeste Capture-Welt (Hashing, Aufbewahrungs-Kette, Zeit-Stempel)
- Artefakt-Extraktion (Dateien aus HTTP, SMB, FTP rekonstruieren)
- Reassembly-Welt für TCP-Streams und Anwendungs-Daten
- Bericht-Strukturen für SOC und juristische Übergabe
- Werkzeug-Verweise: Suricata für kontinuierliche IDS-Welt, Zeek für Verhaltens-Analyse, Arkime für Archiv-Welt
- Praxis-Übung 4: Sicherheits-Analyse mit verschlüsseltem Verkehr
- Ziel: Eine vollständige Sicherheits-Analyse mit modernen Methoden für verschlüsselten Verkehr durchführen und dokumentieren
- Projekt: eine vorbereitete Capture-Datei mit verdächtigem Verkehr analysieren - JA4-Fingerprints extrahieren, ETA-Methodik anwenden, eine Beaconing-Welt identifizieren, Artefakte rekonstruieren, einen Forensik-Bericht erstellen
- Anforderungen: JA4-Extraktion mit Lua-Dissektor, drei dokumentierte Anomalien mit ETA-Begründung, mindestens eine Artefakt-Rekonstruktion, professioneller Bericht für SOC-Übergabe
- Tools: Wireshark 4.x mit JA4-Dissektor, optional Suricata für Vergleichs-Sicht
- Ergebnisse: vollständiger Forensik-Bericht mit dokumentierter Methodik
- Tag 5: Cloud, Container, Lua, Profi-Werkzeuge
- 13. Wireshark in Cloud- und Container-Welten
- Cloud-Network-Sichtbarkeit: VPC Flow Logs (AWS), NSG Flow Logs (Azure), Cloud Flow Logs (GCP)
- Wireshark in Container-Welten (kubectl-debug, ephemeral debug containers)
- Sidecar-Capture-Welt in Service Meshes (Istio, Linkerd)
- Grenzen klassischer Paket-Capture in Cloud-Welten
- Verweis: für eBPF-basierte Kubernetes-Netzwerk-Analyse mit Cilium und Hubble eigener Schwester-Workshop „Cilium" (3T, ID 6767)
- 14. Lua-Dissektoren und tshark-Pipelines
- Lua-Dissektoren für eigene oder proprietäre Protokolle
- Aufbau eines einfachen Lua-Dissektors als Werkstatt
- tshark für skript-basierte Capture-Verarbeitung
- Pipelines mit tshark, awk und jq für automatische Berichte
- Integration in CI/CD-Welten für kontinuierliche Netzwerk-Analyse
- 15. Stratoshark und Werkzeug-Welt jenseits Wireshark
- Stratoshark als Schwester-Werkzeug (Gerald Combs und Sysdig, 2024-2025): System-Calls statt Pakete, Cloud-Audit-Logs als Datenquelle, Kubernetes-Beobachtung
- Verweis: für tiefere Stratoshark-Behandlung eigener Workshop „Stratoshark Einführung" (1T)
- Ergänzende Werkzeuge: Arkime für großvolumige Capture-Archive, Zeek für Verhaltens-Analyse, Suricata für IDS/IPS, Cilium/Hubble für Kubernetes
- Verweise auf Schwester-Schulungen: „Suricata" (3T, ID 4405) für SOC-Welten, „Cilium" (3T, ID 6767) für Cloud-Native-Welten
- Profi-Roll-out: Werkzeug-Auswahl pro Anwendungs-Fall, Anbindungs-Welten, Mannschafts-Aufbau
- Praxis-Übung 5: Profi-Roll-out mit eigenem Anwendungs-Fall
- Ziel: Einen kompletten Profi-Roll-out für die eigene Welt planen und einen Lua-Dissektor produktiv schreiben
- Projekt: einen eigenen Anwendungs-Fall aus dem Beruf der teilnehmenden Person bearbeiten (oder ein vorbereitetes Szenario wählen), einen einfachen Lua-Dissektor für ein Beispiel-Protokoll schreiben und in Wireshark einbinden, eine tshark-Pipeline für automatische Berichte aufbauen
- Anforderungen: lauffähiger Lua-Dissektor mit mindestens drei Feldern, tshark-Pipeline mit automatischer Ausgabe in einem Bericht-Format (CSV, JSON), Roll-out-Plan für die eigene Mannschaft
- Tools: Wireshark 4.x mit Lua-Welt, tshark, Texteditor
- Ergebnisse: produktiver Lua-Dissektor mit Pipeline, dokumentierter Roll-out-Plan
Zielgruppe & Vorkenntnisse
- Netzwerk-Architekten und Netzwerk-Profis: Die Wireshark in produktiver Profi-Tiefe einsetzen und an die nächste Generation weitergeben.
- SOC-Mannschaften und Forensik-Profis: Die verschlüsselten Verkehr klassifizieren, Anomalien erkennen und Vorfälle gerichtsfest dokumentieren.
- DevOps- und Platform-Engineers in Cloud-Native-Welten: Die Container-, Kubernetes- und Cloud-Verkehr beobachten und debuggen.
- IT-Sicherheits-Architekten: Die Sichtbarkeits-Strategien für moderne verschlüsselte Welten entwickeln.
Ihre Schulung
In Präsenz | Online |
|---|---|
| Lernmethode | |
Ausgewogene Mischung aus Theorie und Praxis | Wie auch bei unseren Präsenz-Seminaren: Ausgewogene Mischung aus Theorie und praktischen Übungen. Trainer durchgehend präsent. |
| Unterlagen | |
Seminarunterlagen oder Fachbuch inklusive. Das Fachbuch wählt der Trainer passend zum Seminar aus - Ihren individuellen Buch-Wunsch berücksichtigen wir auf Nachfrage gerne. | Seminarunterlagen oder Fachbuch inklusive (via DHL). Das Fachbuch wählt der Trainer passend zum Seminar aus - Ihren individuellen Buch-Wunsch berücksichtigen wir auf Nachfrage gerne. |
| Arbeitsplatz | |
|
|
| Lernumgebung | |
Neu aufgesetzte Remote-Systeme für jeden Kurs in Abstimmung mit dem Seminarleiter, sodass Sie über ein perfektes Setup für die Durchführung aller praktischen Übungen verfügen. | |
| Arbeitsmaterialien | |
Din A4 Block, Notizblock, Kugelschreiber, USB-Stick, Textmarker, Post-its | |
| Teilnahmezertifikat | |
Nach Abschluss des Seminars erhalten Sie das Teilnahmezertifikat inkl. Inhaltsverzeichnis per E-Mail als PDF. | |
Organisation
In Präsenz | Online | |
|---|---|---|
| Teilnehmendenzahl | ||
min. 1, max. 8 Personen | ||
| Garantierte Durchführung * | ||
Ab 1 Teilnehmenden | ||
| Schulungszeiten | ||
| ||
| Ort der Schulung | ||
 GFU SchulungszentrumAm Grauen Stein 27 51105 Köln-Deutz oder online im Virtual Classroom oder europaweit bei Ihnen als Inhouse-Schulung Um ein optimales Raumklima zu gewährleisten, haben wir das Schulungszentrum mit 17 hochmodernen Trotec TAC V+ Luftreinigern ausgestattet. Diese innovative Filtertechnologie (H14 zertifiziert nach DIN EN1822) sorgt dafür, dass die Raumluft mehrfach pro Stunde umgewälzt wird und Schadstoffe zu 99.995% im HEPA-Filter abgeschieden und infektiöse Aerosole abgetötet werden. Zusätzlich sind alle Räume mit CO2-Ampeln ausgestattet, um jederzeit eine hervorragende Luftqualität sicherzustellen. | ||
| Räumlichkeiten | ||
Helle und modern ausgestattete Räume mit perfekter Infrastruktur | Bequem aus dem Homeoffice von überall | |
| All-Inclusive | ||
Frühstück, Snacks und Getränke ganztägig, Mittagessen im eigenen Restaurant, täglich 6 Menüs, auch vegetarisch | Eine Auswahl unserer Frühstücks-Snacks und Nervennahrungs-Highlights senden wir Ihnen mit den Seminarunterlagen via DHL zu. | |
| Barrierefreiheit | ||
Das GFU-Schulungszentrum (Am Grauen Stein 27) ist barrierefrei | - | |
Kostenfreie Services
In Präsenz | Online |
|---|---|
|
|
Buchungsmöglichkeiten
Online oder in Präsenz teilnehmen
Sie können sowohl Online als auch in Präsenz am Seminar teilnehmen. Klicken Sie bei Ihrer Buchung oder Anfrage einfach die entsprechende Option an.
- Lernumgebung in der Cloud
- Inhalte werden auf Wunsch an die Anforderungen Ihres Teams angepasst.
- Lernumgebung in der Cloud
- 1 Teilnehmender = Fokus aufs Fachliche und maximaler Raum für individuelle Fragen.
Was bedeutet Offene Schulung und Inhouse Schulung?
Bei einer offenen Schulung stehen Ort und Termin vorab fest. Jeder Interessent kann eine offene Schulung buchen, daher treffen Teilnehmer aus verschiedenen Unternehmen aufeinander.
Inhouse Schulungen können auf Ihren individuellen Schulungsbedarf zugeschnitten werden. Sie bestimmen den Teilnehmerkreis, Termin und Schulungsort.
Ist eine Inhouse Schulung die richtige Wahl?
Bei einer Inhouse Schulung gehen wir auf die individuellen Bedürfnisse Ihres Unternehmens ein und decken den Schulungsbedarf direkt bei Ihnen im Unternehmen ab.
Das spart Zeit und Geld und sorgt für einen schnellen Wissenstransfer Ihrer Mitarbeiter.
Wer kümmert sich um die Technik bei Inhouse Schulungen?
Eine komplette Lernumgebung in der Cloud mit Remote Zugriff ist für uns selbstverständlich. Sie müssen sich um nichts kümmern. Lediglich ein funktionierender PC oder Notebook mit Internetanschluss sollte für jeden Teilnehmer am Schulungstag bereit stehen.
Vorteile einer Inhouse Schulung
- Kompetente Seminarberatung
- Dozenten aus der Praxis
- Auf Ihre Bedürfnisse zugeschnittener individueller Lernstoff
- Sie können den Termin flexibel gestalten, so wie es für Sie am besten passt
- Unsere Inhouse Schulungen können Europaweit durchgeführt werden
- Der Fokus liegt auf Ihrem Schulungsbedarf, somit schonen Sie Ihr Budget
- Wissenslücken Ihrer Mitarbeitet werden schnell geschlossen