{"id":67299,"date":"2026-10-26T10:05:00","date_gmt":"2026-10-26T09:05:00","guid":{"rendered":"https:\/\/www.secuinfra.com\/?p=67299"},"modified":"2026-10-27T14:51:25","modified_gmt":"2026-10-27T13:51:25","slug":"corelight-ctf-durch-zeek-logs-kleine-panikmomente-und-bis-aufs-treppchen","status":"publish","type":"post","link":"https:\/\/www.secuinfra.com\/de\/news\/corelight-ctf-durch-zeek-logs-kleine-panikmomente-und-bis-aufs-treppchen\/","title":{"rendered":"Corelight CTF: Durch Zeek-Logs, kleine Panikmomente und bis aufs Treppchen"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-flat ez-toc-counter ez-toc-white ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">[inhalt_uebersetzt]<\/p>\n<span class=\"ez-toc-title-toggle\"><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/www.secuinfra.com\/de\/news\/corelight-ctf-durch-zeek-logs-kleine-panikmomente-und-bis-aufs-treppchen\/#Wenn_die_vermeintlich_eindeutige_Antwort_nicht_stimmt\" >Wenn die vermeintlich eindeutige Antwort nicht stimmt<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/www.secuinfra.com\/de\/news\/corelight-ctf-durch-zeek-logs-kleine-panikmomente-und-bis-aufs-treppchen\/#Eine_spannende_Reise_durch_die_Daten\" >Eine spannende Reise durch die Daten<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/www.secuinfra.com\/de\/news\/corelight-ctf-durch-zeek-logs-kleine-panikmomente-und-bis-aufs-treppchen\/#Zwei_Einzelteilnahmen_ein_schoener_firmeninterner_Erfolg\" >Zwei Einzelteilnahmen, ein sch\u00f6ner firmeninterner Erfolg<\/a><\/li><\/ul><\/nav><\/div>\n\n<p class=\"wp-block-paragraph\">Die Corelight CTF war ein richtig cooles Event, das unsere Kollegen fachlich ordentlich gefordert hat. Sie haben sich durch Zeek-Logs gearbeitet, im Investigator nach Zusammenh\u00e4ngen gesucht und versucht, aus einzelnen Auff\u00e4lligkeiten ein nachvollziehbares Bild zu bauen. Dabei waren sie zwischendurch ziemlich \u00fcberzeugt, auf dem richtigen Weg zu sein. Die n\u00e4chste Antwort hat sie dann gelegentlich eines Besseren belehrt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mit \u201eunsere Kollegen\u201c sind Konrad und Aurel gemeint. Sie sind jeweils einzeln angetreten, haben unabh\u00e4ngig voneinander gearbeitet und keine Antworten ausgetauscht. Jeder hatte also seine eigenen Queries, seine eigenen L\u00f6sungswege und vermutlich auch seine ganz pers\u00f6nlichen Momente des Zweifelns. Gemeinsam freuen k\u00f6nnen wir uns \u00fcber das Ergebnis trotzdem: Platz 1 f\u00fcr Aurel und Platz 2 f\u00fcr Konrad. Beide Pl\u00e4tze bleiben damit in der Firma.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Wenn_die_vermeintlich_eindeutige_Antwort_nicht_stimmt\"><\/span>Wenn die vermeintlich eindeutige Antwort nicht stimmt<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Eine solche Challenge zeigt ziemlich schnell, wie gro\u00df der Unterschied zwischen einer plausiblen Erkl\u00e4rung und einer belegbaren Antwort sein kann. Eine auff\u00e4llige Verbindung zu finden, ist ein Anfang. Herauszuarbeiten, was dar\u00fcber passiert ist und welche Systeme beteiligt waren, braucht dann doch etwas mehr Geduld.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aurel hat sich dabei hier und da gepflegt verrannt. Die Query lieferte ein Ergebnis, das zur eigenen Vorstellung passte, und die Antwort wirkte eigentlich eindeutig. War sie offenbar nicht. Also noch einmal zur\u00fcck: Hatte er das richtige Feld erwischt? Z\u00e4hlte er Verbindungen oder unterschiedliche Hosts? Beantwortete sein Ergebnis \u00fcberhaupt die Frage, die gestellt wurde?<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">An solchen Stellen kam auch kurz etwas Panik auf. Besonders dann, wenn schon einiges an Zeit in einer vermeintlich guten Spur steckte. Im Nachhinein l\u00e4sst sich leicht sagen, dass man einfach ruhig bleiben und systematisch weitersuchen muss. W\u00e4hrenddessen ist die eigene Begeisterung f\u00fcr diesen Ratschlag gelegentlich etwas begrenzt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aurel hat gerade das aber auch Spa\u00df gemacht. Man muss sich selbst korrigieren k\u00f6nnen und bereit sein, eine sch\u00f6ne Erkl\u00e4rung wieder zu verwerfen. Die Logs lassen sich schlie\u00dflich nicht davon beeindrucken, wie sicher man sich seiner Antwort gerade ist.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Eine_spannende_Reise_durch_die_Daten\"><\/span>Eine spannende Reise durch die Daten<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Aufgaben haben eine aufregende Reise durch die Zeek-Logs und den Investigator ergeben. Aus einer DNS-Anfrage wurde eine weitere Spur. Eine Verbindung f\u00fchrte zum n\u00e4chsten Logtyp, ein Download warf neue Fragen auf. Nach und nach mussten die einzelnen Beobachtungen eingeordnet werden, damit aus einer Sammlung verd\u00e4chtiger Ereignisse ein verst\u00e4ndlicher Ablauf wurde.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dabei ging es immer wieder um genaues Hinsehen. Ein Port allein ist noch kein zuverl\u00e4ssiger Beleg f\u00fcr das verwendete Protokoll. Ein Alarmname erz\u00e4hlt nicht automatisch die ganze Geschichte. Und ein Feld, das auf den ersten Blick passend aussieht, muss nicht das sein, nach dem die Aufgabe tats\u00e4chlich fragt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das sind Dinge, die man grunds\u00e4tzlich wei\u00df. Unter Zeitdruck trotzdem sauber damit umzugehen, ist eine andere \u00dcbung. Da merkt man schnell, welche Arbeitsschritte wirklich sitzen und wo man etwas zu gro\u00dfz\u00fcgig mit den eigenen Annahmen umgeht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr uns liegt darin ein gro\u00dfer Wert solcher Events. Man probiert aus, scheitert auch mal an einer Kleinigkeit und muss sich den Zusammenhang selbst erarbeiten. Wenn es dann endlich klickt, bleibt davon deutlich mehr h\u00e4ngen als von einer L\u00f6sung, die man einfach nur nachliest. Genau diese Erfahrungen lassen sich sp\u00e4ter auch in den Arbeitsalltag mitnehmen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Zwei_Einzelteilnahmen_ein_schoener_firmeninterner_Erfolg\"><\/span>Zwei Einzelteilnahmen, ein sch\u00f6ner firmeninterner Erfolg<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Am Ende standen f\u00fcr uns Platz 1 und Platz 2 auf dem Scoreboard. Dar\u00fcber freuen wir uns nat\u00fcrlich sehr. Besonders sch\u00f6n ist, dass Konrad mit seiner eigenen, unabh\u00e4ngigen Leistung direkt auf dem zweiten Platz gelandet ist. Er hat richtig stark abgeliefert. Gl\u00fcckwunsch dazu!<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dass die ersten beiden Pl\u00e4tze firmenintern besetzt sind, macht das Ergebnis f\u00fcr uns noch einmal sch\u00f6ner. Jeder hat sich selbst durch die Aufgaben gearbeitet und seine Antworten eigenst\u00e4ndig ermittelt. Umso mehr gibt es im Nachgang zu erz\u00e4hlen: Wo hing man fest, welche Spur war hilfreich und an welcher Stelle hat man viel zu kompliziert gedacht?<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Platzierungen sind ein toller Abschluss. Mindestens genauso wertvoll ist das, was man unterwegs gelernt hat. Gerade die falschen Abzweigungen bleiben im Kopf. Manche Query schaut man sich danach noch einmal genauer an, und bei der n\u00e4chsten Untersuchung wird man bestimmte Annahmen hoffentlich etwas fr\u00fcher hinterfragen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wir sind froh, dass unsere Kollegen mitgemacht haben, und k\u00f6nnen die Corelight CTF jedem empfehlen, der sich f\u00fcr Incident Response und Threat Hunting interessiert und sein Wissen praktisch auf die Probe stellen m\u00f6chte. Es war herausfordernd, zwischendurch etwas nervenaufreibend und insgesamt ein Event, das richtig Spa\u00df gemacht hat.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Vielen Dank an Corelight f\u00fcr die spannenden Aufgaben. Gerne wieder. Die kleinen Panikmomente geh\u00f6ren offenbar dazu.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die Corelight CTF war ein richtig cooles Event, das uns fachlich ordentlich gefordert hat. Wir haben uns durch Zeek-Logs gearbeitet, im Investigator nach Zusammenh\u00e4ngen gesucht und versucht, aus einzelnen Auff\u00e4lligkeiten ein nachvollziehbares Bild zu bauen. Dabei waren wir zwischendurch ziemlich \u00fcberzeugt, auf dem richtigen Weg zu sein. Die n\u00e4chste Antwort hat uns dann gelegentlich eines Besseren belehrt.<\/p>\n","protected":false},"author":33,"featured_media":67300,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"dpc_author_order":[33],"footnotes":""},"categories":[1],"tags":[],"class_list":["post-67299","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts\/67299","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/users\/33"}],"replies":[{"embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/comments?post=67299"}],"version-history":[{"count":3,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts\/67299\/revisions"}],"predecessor-version":[{"id":67335,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts\/67299\/revisions\/67335"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/media\/67300"}],"wp:attachment":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/media?parent=67299"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/categories?post=67299"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/tags?post=67299"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}