OSI-basiertes „Security Runbook“ für SecOps erstellen

Ein OSI-basiertes Security Runbook für SecOps ist ein praxisnahes Nachschlagewerk, das Security-Analysten im Incident schnell von Symptomen zu belastbaren Maßnahmen führt. In vielen Organisationen scheitert Reaktion nicht an fehlenden Tools, sondern an fehlender Struktur: Alerts sind unvollständig, Teams springen zwischen Netzwerk- und Applikationssicht, und Entscheidungen werden ohne klare Beweise getroffen. Das OSI-Modell schafft hier eine…

tcpdump-Tutorial fürs NOC: Pflicht-Filter für 80% der Fälle

Ein tcpdump-Tutorial fürs NOC ist dann wirklich hilfreich, wenn es sich auf die Pflicht-Filter konzentriert, die in 80% der Fälle schnell Klarheit bringen: „Kommt Traffic an? Geht Traffic raus? Welche Hosts und Ports sind beteiligt? Ist es DNS, ARP, TCP-Handshake, Retransmission, Reset, ICMP oder schlicht ein falsches Interface?“ tcpdump ist dabei eines der zuverlässigsten Werkzeuge,…

Wireshark fürs NOC: TCP-Handshake und Retransmissions lesen

Wireshark fürs NOC ist dann am wertvollsten, wenn Sie in kurzer Zeit zwei Dinge zuverlässig lesen können: den TCP-Handshake (kommt die Verbindung überhaupt sauber zustande?) und Retransmissions (werden Daten wirklich sauber übertragen oder kaschiert TCP gerade Netzprobleme durch Wiederholungen?). Genau diese beiden Themen decken einen großen Teil typischer Incidents ab: „Service ist langsam“, „nur ein…

DNS-Diagnose in Wireshark: Query, Response und Cache-Verhalten

DNS-Diagnose in Wireshark gehört zu den schnellsten Wegen, um scheinbar „mysteriöse“ Applikationsprobleme auf harte Fakten herunterzubrechen: Wird überhaupt eine Anfrage (Query) gestellt? Kommt eine Antwort (Response) zurück? Ist der Resolver erreichbar, ist die Antwort valide, und kommt sie aus einem Cache oder wirklich aus dem autoritativen DNS? Gerade im NOC wirken viele Incidents zunächst wie…

HTTP/TLS-Issues aus PCAP: L4 vs. L6 vs. L7 unterscheiden

HTTP/TLS-Issues aus PCAP sauber zu diagnostizieren ist im NOC eine der schnellsten Möglichkeiten, „alles ist langsam“ oder „nur manche Requests gehen“ in konkrete Ursachen zu übersetzen. Der entscheidende Schritt dabei ist, Probleme konsequent nach Schichten zu trennen: Layer 4 (Transport/TCP), Layer 6 (TLS als Sicherheits-/Session-Schicht) und Layer 7 (HTTP als Anwendungsprotokoll). In der Praxis werden…

Synthetic Monitoring: Checks designen, die nicht täuschen

Synthetic Monitoring ist ein zentraler Baustein moderner Betriebsmodelle, weil es Dienste aus Sicht des Nutzers oder eines definierten „Kundenpfads“ aktiv prüft – unabhängig davon, ob gerade realer Traffic anliegt. Genau hier liegt aber auch die Gefahr: Schlecht designte Synthetic Checks täuschen. Sie melden „alles grün“, obwohl echte Nutzer scheitern (False Negatives), oder sie lösen ständig…

Irreführende Health Checks: „UP“, obwohl Service down

Irreführende Health Checks sind ein Klassiker in der Betriebsrealität: Monitoring zeigt „UP“, Load Balancer markiert Backends als „healthy“, Kubernetes meldet Pods als „ready“ – und trotzdem ist der Service für Nutzer effektiv down. Genau dieser Widerspruch ist besonders gefährlich, weil er Reaktionszeiten verlängert und Incident-Kommunikation erschwert: „Es kann nicht down sein, der Health Check ist…

Alarm-Korrelation: Interface Errors + BGP Flap + Latenz-Spike

Alarm-Korrelation ist im NOC einer der wirksamsten Hebel gegen Alarmfluten: Statt drei getrennte Meldungen („Interface Errors“, „BGP Flap“, „Latenz-Spike“) als unabhängige Störungen zu behandeln, wird daraus ein konsistentes Incident-Bild mit einer wahrscheinlichen Ursache und einem klaren Response-Plan. Gerade die Kombination aus steigenden Interface-Fehlern, einem flappenden BGP-Neighbor und plötzlichen Latenzspitzen ist ein typisches Muster für physische…

Incident-Ready Dashboard fürs NOC erstellen

Ein Incident-Ready Dashboard fürs NOC erstellen heißt, ein Bedienpanel zu bauen, das in Stresssituationen zuverlässig Antworten liefert: Was ist betroffen, wie groß ist der Impact, wo liegt die wahrscheinlichste Ursache, und welche Maßnahme reduziert den Schaden am schnellsten? Viele Dashboards sind im Alltag hübsch, aber im Incident nutzlos, weil sie zu viele Metriken zeigen, zu…

Automatisiertes Evidence Pack fürs RCA: Welche Daten werden gespeichert?

Ein automatisiertes Evidence Pack fürs RCA ist ein strukturiertes, maschinenlesbares Beweispaket, das während oder unmittelbar nach einem Incident automatisch erzeugt und unveränderbar abgelegt wird. Ziel ist nicht „mehr Daten“, sondern die richtigen Daten in der richtigen Qualität – damit Root Cause Analysis (RCA) und Postmortems nicht auf Bauchgefühl, Chat-Verläufen oder lückenhaften Screenshots basieren. In vielen…