Was ist Packet Capture (PCAP)?

Unter „Packet Capture“ (PCAP) versteht man den Vorgang, bei dem Netzwerkverkehr – also der gesamte Inhalt oder die Header von Paketen, die eine Schnittstelle passieren – abgefangen und in einer Datei zur späteren Auswertung gespeichert wird. Dieser Vorgang bildet die Grundlage für die Fehlerbehebung im Netzwerk, die Analyse von Eindringversuchen und die Compliance-Forensik und ermöglicht es Analysten, den Datenverkehr exakt so wiederzugeben, wie er tatsächlich über die Leitung gelaufen ist.

Die wichtigsten Erkenntnisse

• Die Paketerfassung zeichnet den Rohdatenverkehr zur Fehlerbehebung und forensischen Analyse auf.
• Aufzeichnungen können vollständig, gefiltert oder durch ein bestimmtes Ereignis ausgelöst sein.
• Das pcap/pcapng-Dateiformat ist ein De-facto-Industriestandard.
• Versa NGFW- und IDP-Trigger erfassen Daten rund um erkannte Sicherheitsereignisse.
• Analytics-Knoten speichern Aufzeichnungen zum Herunterladen und zur Offline-Überprüfung.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Paketerfassung & Versa · Häufig gestellte Fragen

Warum ist die Paketerfassung wichtig?

Die meisten Netzwerk- und Sicherheitstools liefern eine Zusammenfassung des Datenverkehrs – einen Flussdatensatz, eine Bedrohungswarnung, ein Sitzungsprotokoll –, doch eine solche Zusammenfassung kann die Details verschleiern, die Aufschluss darüber geben, was tatsächlich geschehen ist. Bei der Paketaufzeichnung wird der Datenverkehr selbst erfasst: die genauen Header, Nutzdaten und Zeitangaben jedes Frames, der eine Schnittstelle passiert. So kann ein Analyst eine Kommunikation Byte für Byte nachverfolgen, anstatt sich auf eine daraus gezogene Schlussfolgerung zu verlassen.

Das ist besonders wichtig, wenn etwas nachgewiesen werden muss und nicht nur gemeldet wird. Eine Warnung der Einbruchserkennung besagt, dass eine Signatur übereinstimmt; die Paketaufzeichnung rund um diese Übereinstimmung zeigt, ob es sich um einen echten Exploit-Versuch oder um einen Fehlalarm handelte und was der Angreifer tatsächlich gesendet hat. Ein abgebrochener VoIP-Anruf oder eine langsame Anwendungsreaktion lassen sich anhand von Flussstatistiken nur bis zu einem gewissen Grad diagnostizieren – eine Erfassung zeigt die erneuten Übertragungen oder fehlerhaften Pakete direkt an. Da Erfassungen ressourcenintensiv sind, werden sie in den meisten Umgebungen nicht kontinuierlich, sondern selektiv durchgeführt – ausgelöst durch ein Sicherheitsereignis oder ein Diagnosefenster.

Was ist eine Paketerfassung?

Bei einer Paketaufzeichnung werden Pakete kopiert, während sie eine überwachte Schnittstelle passieren, ohne dass dabei die Art und Weise, wie diese Pakete tatsächlich weitergeleitet werden, verändert wird. Ein Aufzeichnungsagent – eine Softwarebibliothek wie libpcap, ein Hardware-Tap oder eine in ein Netzwerkgerät integrierte Funktion – wird in die Schnittstelle eingebunden, gleicht den Datenverkehr mit einem optionalen Filter ab und schreibt die Rohdaten jedes übereinstimmenden Pakets sowie einen Zeitstempel in eine Datei.

Der De-facto-Standard für diese Daten ist das PCAP-Dateiformat und dessen Nachfolger PCAPNG, die von den meisten Analyse-Tools gleichermaßen gelesen und geschrieben werden können. Bei der Erfassung kann jedes Byte jedes Pakets aufgezeichnet werden oder – was bei großen Datenmengen üblicher ist – nur die Header oder eine begrenzte Anzahl von Paketen rund um ein auslösendes Ereignis erfasst werden, wobei Speicherplatz zugunsten der für eine Untersuchung erforderlichen spezifischen Details eingespart wird. Einmal gespeichert, ist die Datei portabel: Sie kann heruntergeladen und offline in einem Protokollanalysator wie Wireshark geöffnet werden, um Sitzungen zu rekonstruieren und genau zu diagnostizieren, was ein Gerät gesendet oder empfangen hat.

Arten der Paketerfassung

Bei der vollständigen (kontinuierlichen) Erfassung wird jedes Paket aufgezeichnet, das eine Schnittstelle passiert, solange der Vorgang läuft; dies gewährleistet zwar eine vollständige Genauigkeit, beansprucht jedoch schnell Speicherplatz und Rechenleistung, weshalb diese Methode in der Regel nur für kurze, gezielt geplante Zeitfenster zur Fehlerbehebung vorgesehen ist.

Die ausgelöste (ereignisgesteuerte) Erfassung beginnt erst dann mit der Aufzeichnung, wenn eine Bedingung eintritt – beispielsweise eine Übereinstimmung mit einer Signatur zur Einbruchserkennung, eine Richtlinienregel oder eine Anomalie – und erfasst ein begrenztes Zeitfenster von Paketen unmittelbar vor und nach dem Auslöser. Dies ist das gängigste Muster im Produktivbetrieb, da es forensische Details liefert, ohne Datenverkehr zu erfassen, der ohnehin nicht überprüft wird.

Die gefilterte Erfassung schränkt anhand von Übereinstimmungskriterien wie Quell- oder Zieladresse, Port, Protokoll oder Anwendung ein, was aufgezeichnet wird, sodass nur der für die jeweilige Fragestellung relevante Datenverkehr auf die Festplatte geschrieben wird.

Erfassung nur der Header im Vergleich zur Erfassung der vollständigen Nutzdaten – Unterschiede bei den Transaktionsdetails hinsichtlich des Volumens: Header allein reichen aus, um das Timing und die Wiederholungsübertragungen zu analysieren, und das zu einem Bruchteil der Speicherkosten, die bei der Erfassung der vollständigen Nutzdaten anfallen. Letztere sind nur dann erforderlich, wenn der Inhalt selbst untersucht wird.

Paketerfassung & Versa

Versa Implementiert die Paketerfassung als Diagnosefunktion der NGFW-, IDP- und Datenverkehrsüberwachungs-Richtlinien-Engines, die über die Funktion „Apply Log Export“ konfiguriert wird. Für IDP ermöglicht eine Schwachstellenprofilregel die Erfassung mit einem konfigurierbaren Vor- und Nachfenster – dabei werden Pakete erfasst, die unmittelbar vor und nach dem Paket liegen, das einer Angriffssignatur entsprach (siehe „Intrusion Detection und Prevention konfigurieren“). Bei der NGFW wird die Erfassung pro Zugriffsrichtlinienregel aktiviert, wobei in der Protokollierungssteuerung ein Standard-Paketlimit (20.000, einstellbar von 1.000 bis 50.000) und ein Timeout (600 Sekunden) festgelegt sind. Richtlinienregeln zur Verkehrsüberwachung können ebenfalls Paketerfassungsdaten für ausgewählte Datenströme senden.

In jedem Fall werden die erfassten Pakete über die zugehörige Log-Export-Funktionalität (LEF) an den aktiven Collector exportiert und landen auf einem Analytics-Knoten, da die Paketerfassung sowohl auf VOS als auch auf Analytics ressourcenintensiv ist und daher nur zu Diagnosezwecken empfohlen wird. Über die Analytics-Benutzeroberfläche können Administratoren die Paketerfassungs-Protokolltabelle einsehen und jeden Eintrag im pcap-Format – das direkt in Wireshark geöffnet werden kann – oder als Klartext herunterladen.

Häufig gestellte Fragen

Wofür steht die Abkürzung PCAP?

PCAP steht für „Packet Capture“ (Paketerfassung). Unter derselben Abkürzung wird auch das pcap-Dateiformat bezeichnet, das die meisten Erfassungstools zum Speichern des aufgezeichneten Datenverkehrs verwenden; der Begriff bezieht sich also sowohl auf den Vorgang selbst als auch auf die daraus resultierende Datei.

Was ist der Unterschied zwischen Paketerfassung und NetFlow?

NetFlow und ähnliche Flussprotokolle erfassen zusammenfassende Statistiken zu jeder Sitzung – Quelle, Ziel, Byteanzahl, Dauer – ohne den Inhalt der Pakete. Bei der Paketerfassung werden die tatsächlichen Pakete einschließlich ihrer Nutzdaten aufgezeichnet, was weitaus detailliertere Informationen liefert, jedoch mit deutlich höheren Speicher- und Verarbeitungskosten verbunden ist.

Ist die Paketerfassung dasselbe wie Deep Packet Inspection?

Nein. Bei der Deep Packet Inspection (DPI) wird der Inhalt von Paketen in Echtzeit untersucht, um den Datenverkehr zu klassifizieren oder Richtlinien durchzusetzen; anschließend wird das Paket verworfen. Bei der Paketerfassung werden Pakete zur späteren Analyse in eine Datei geschrieben; eine DPI-Engine kann zwar eine Erfassung auslösen, doch handelt es sich dabei um zwei unterschiedliche Funktionen.

Welches Programm benutzt du, um eine PCAP-Datei zu öffnen?

Ein Protokollanalysator wie Wireshark ist das Standardwerkzeug zum Öffnen und Dekodieren von PCAP- oder PCAPNG-Dateien, mit dem ein Analyst Sitzungen filtern, verfolgen sowie Header und Nutzdaten untersuchen kann. Auch Befehlszeilen-Tools wie tcpdump und tshark können PCAP-Dateien lesen.

Beeinflusst die Paketerfassung die Netzwerkleistung?

Ja. Das Erfassen und Exportieren von Paketen beansprucht sowohl auf dem Erfassungsgerät als auch auf dem Collector, der die Daten empfängt, CPU-Leistung und Speicherplatz. Daher wird diese Funktion in den meisten Bereitstellungen nicht kontinuierlich im Produktivbetrieb, sondern selektiv – im Zusammenhang mit einem Sicherheitsvorfall oder einem festgelegten Zeitfenster für die Fehlerbehebung – aktiviert.

Mehr zum Thema Paketerfassung

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit der Paketerfassung beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.