Ein Netzwerkadministrator kann Wireshark und Netwitness Investigator zusammen verwenden, um die Stärken jedes Tools für eine umfassendere Netzwerksicherheitsanalyse zu nutzen. Sie sind komplementäre, nicht direkt konkurrierende Werkzeuge.
So arbeiten sie zusammen:
* Wireshark für die tiefe Paketprüfung: Wireshark zeichnet sich aus der detaillierten Analyse einzelner Netzwerkpakete mit niedriger Ebene an. Es ist von unschätzbarem Wert für die Fehlerbehebung bestimmter Netzwerkprobleme, die Identifizierung der Hauptursache für Leistungsprobleme und die Analyse verdächtiger Netzwerkverkehrsmuster. Es ermöglicht eine körnige Untersuchung von Paketkopfzeilen, Nutzlasten und Timing.
* Netwitness Investigator für Großbildkontext &Untersuchung: Netwitness Investigator (und ähnliche Sicherheitsinformationen und Ereignismanagement - Siem - Systeme) ist für die Analyse massiver Mengen an Netzwerkdaten über längere Zeiträume ausgelegt. Es bietet einen hochrangigen Überblick, der Ereignisse aus verschiedenen Quellen (nicht nur Netzwerkpakete) korreliert, einschließlich Protokolle von Firewalls, Servern und anderen Sicherheitsgeräten. Es zeichnet sich aus, breitere Trends, Bedrohungen und Sicherheitsvorfälle zu identifizieren, indem der Kontext und die Beziehungen zwischen verschiedenen Ereignissen analysiert werden.
Szenario Beispiele für die kombinierte Verwendung:
* Vorfallantwort: Ein siem wie Netwitness -Ermittler könnte verdächtige Aktivitäten feststellen (z. B. eine große Anzahl fehlgeschlagener Anmeldeversuche aus einer bestimmten IP -Adresse). Der Administrator würde dann Wireshark verwenden, um Pakete aus dieser IP -Adresse zu erfassen und zu analysieren, um genau zu sehen, welche Versuche unternommen wurden, welche Techniken verwendet wurden, und böswillige Nutzlasten zu identifizieren.
* Malware -Untersuchung: Netwitness Investigator kann ungewöhnliche Netzwerkverbindungen oder Dateiübertragungen hervorheben. Wireshark würde dann verwendet, um den mit diesem Ereignis verbundenen spezifischen Netzwerkverkehr zu untersuchen, wodurch möglicherweise die Art der Malware, der Befehl und den Kontrollserver und die von ihm peelisierten Daten enthüllt.
* Leistungsstimmung: Netwitness Investigator kann während der Spitzenzeiten einen ungewöhnlich hohen Netzwerkverkehr in einer bestimmten Anwendung oder einem Subnetz identifizieren. Wireshark könnte verwendet werden, um den Engpass zu diagnostizieren, indem Paketgrößen, Protokolle und -übertragungen analysiert werden.
Im Wesentlichen stellt Netwitness Investigator den breiteren Kontext bereit und alarmiert den Administrator auf potenzielle Probleme, während Wireshark den tiefen Tauchgang bereitstellt, um die Details bestimmter Ereignisse zu verstehen und sie effektiv zu beheben. Sie sind leistungsstarke Tools, die, wenn sie zusammen verwendet werden, die Fähigkeit eines Netzwerkadministrators erheblich verbessern, ein Netzwerk zu verwalten, zu überwachen und zu sichern.
