Erfahren Sie mehr über die Arten von Beweisen in der Kategorie Netzwerkinformationen, die das Incident Response Evidence Collection Playbook, die Collect Evidence-Aufgabe und das Trend Micro Incident Response Toolkit sammeln.
Address Resolution Protocol (ARP)
|
Evidenzdaten
|
Beschreibung
|
|
Netzwerkschnittstelle
|
Die lokale Schnittstellenadresse.
|
|
Adresse
|
Die zwischengespeicherte IP-Adresse in der Schnittstelle.
|
|
MAC
|
Die durch die IP-Adresse aufgelöste physische Adresse.
|
|
Permanent
|
Ob der Cache-Eintrag statisch oder dynamisch ist.
|
DNS-Cache
|
Evidenzdaten
|
Beschreibung
|
|
Name
|
Der über DNS abgefragte Name und die zugehörigen Einträge, wie Adressen.
|
|
Typ
|
Der Typ des DNS-Datensatzes (z. B. A, CNAME).
|
|
TTL
|
Die Dauer in Sekunden, für die der Cache-Eintrag gültig ist.
|
|
Datenlänge
|
Die Länge des Datenfeldes in Byte.
|
|
Abschnitt
|
Der Abschnitt, der die Antwort auf die DNS-Anfrage darstellt.
|
|
Daten
|
Die Daten, die dem Domänennamen-Datensatz entsprechen (z. B. IP-Adresse, CNAME).
|
Firewall-Regeln
|
Evidenzdaten
|
Beschreibung
|
|
Name
|
Der eindeutige alphanumerische Bezeichner der Regel.
|
|
Aktiviert
|
Ob die Regel derzeit aktiviert ist.
|
|
Richtung
|
Die Verkehrsrichtung (Eingehend oder Ausgehend), auf die die Regel angewendet wird.
|
|
Profile
|
Die Netzwerkprofile (Domäne, Privat, Öffentlich), zu denen die Regel gehört.
|
|
Gruppierung
|
Die Gruppe, die für die Verwaltung der zugehörigen Firewall-Regeln zuständig ist.
|
|
Lokale Adresse
|
Die lokalen IP-Adressen, die von der Regel abgedeckt werden, angegeben als durch Kommas
getrennte Tokens.
|
|
Remote-Adresse
|
Die von der Regel abgedeckten Remote-IP-Adressen, angegeben als durch Kommas getrennte
Tokens.
|
|
Protokoll
|
Das im Regelwerk angegebene IP-Protokoll (z. B. TCP, UDP, ICMPv6).
|
|
Lokaler Port
|
Die lokalen Portnummern oder Bereiche, die von der Regel abgedeckt werden.
|
|
Remote-Port
|
Die von der Regel abgedeckten entfernten Portnummern oder -bereiche.
|
|
Edge-Durchlauf
|
Gibt an, ob die Edge-Überquerung mithilfe von Technologien wie Teredo für die Regel
aktiviert ist.
|
|
Aktion
|
Die durch die Regel erzwungene Aktion (Zulassen oder Sperren).
|
Netstat
|
Evidenzdaten
|
Beschreibung
|
|
Protokoll
|
Der Name des verwendeten Protokolls (TCP oder UDP).
|
|
Lokale Adresse
|
Die IP-Adresse und die Portnummer auf dem lokalen Computer, die für die Verbindung
verwendet werden.
|
|
Remote-Adresse
|
Die IP-Adresse und die Portnummer des entfernten Computers, mit dem der Socket verbunden
ist.
|
|
Bundesland
|
Der aktuelle Status der TCP-Verbindung (z. B. ESTABLISHED, LISTEN, CLOSED).
|
Netzwerkfreigaben
|
Evidenzdaten
|
Beschreibung
|
|
Name
|
Der Netzwerkname der freigegebenen Ressource.
|
|
Pfad
|
Der absolute lokale Pfad des freigegebenen Verzeichnisses.
|
|
Hinweis
|
Ein beschreibender Kommentar zur freigegebenen Ressource.
|
Routentabelle
|
Evidenzdaten
|
Beschreibung
|
|
Typ
|
Ob die Route eine aktive Route oder eine im Register gespeicherte persistente Route
ist.
|
|
Ziel
|
Die Netzwerk-Zieladresse der Route.
|
|
Netzmaske
|
Die Subnetzmaske, die mit dem Netzwerkziel verbunden ist.
|
|
Gateway
|
Die Weiterleitungs- oder Next-Hop-IP-Adresse für die Route.
|
|
Netzwerkschnittstelle
|
Die mit der Route verknüpfte Netzwerk-Schnittstellenadresse.
|
|
Metrik
|
Der den Routen zugewiesene Kostenmetrik, die zur Bestimmung der Präferenz unter mehreren
Routen verwendet wird.
|
TCP
|
Evidenzdaten
|
Beschreibung
|
|
Bundesland
|
Der aktuelle Status der TCP-Verbindung (z. B. LISTEN, ESTABLISHED).
|
|
Lokale Adresse
|
Die lokale IP-Adresse, die mit der TCP-Verbindung verknüpft ist.
|
|
Lokaler Port
|
Die lokale Portnummer in Netzwerk-Byte-Reihenfolge für die TCP-Verbindung.
|
|
Remote-Adresse
|
Die entfernte IP-Adresse, die mit der TCP-Verbindung verknüpft ist.
|
|
Remote-Port
|
Die entfernte Portnummer in Netzwerk-Byte-Reihenfolge für die TCP-Verbindung.
|
|
PID
|
Die Prozess-ID (PID) des Prozesses, der den TCP-Verbindungsendpunkt besitzt
|
|
Auslagerungsstatus
|
Der TCP-Chimney-Offload-Status der Verbindung.
|
|
Lokale Bereichs-ID
|
Die lokale Bereichs-ID für die IPv6-Adresse der TCP-Verbindung.
|
|
Remote Scope-ID
|
Die Remote-Scope-ID für die IPv6-Adresse der TCP-Verbindung.
|
|
Familie
|
Die von der Verbindung verwendete Adressfamilie (IPv4 oder IPv6).
|
UDP
|
Evidenzdaten
|
Beschreibung
|
|
Lokale Adresse
|
Die lokale IP-Adresse des UDP-Endpunkts.
|
|
Lokaler Port
|
Die lokale Portnummer in Netzwerk-Byte-Reihenfolge für den UDP-Endpunkt.
|
|
Lokale Bereichs-ID
|
Die lokale Bereichs-ID für die IPv6-Adresse des UDP-Endpunkts.
|
|
Familie
|
Die von dem Endpunkt verwendete Adressfamilie (IPv4 oder IPv6).
|