Protokollerkennung: Reverse Engineering von Netzwerkanwendungen

Angesichts der enormen Vielzahl undokumentierter oder nur unzureichend dokumentierter Protokolle stellt sich heute die Frage, wie ein Incident Responder im Netzwerk ein Paket durch das Erfassen einer binären ausführbaren Datei darstellen kann. Der Inhalt solcher Dateien lässt sich mit herkömmlichen statischen und dynamischen Techniken analysieren. In vielen Fällen ist es jedoch nicht einmal möglich, die Binärdatei für eine Analyse zu identifizieren. Daher wurde ein neuer Prozess des Protocol Reverse Engineering (PRE) entwickelt, der mehrere Informationsquellen nutzt, um die Erkennung bei der Incident Response zu beschleunigen. Es handelt sich um eine pseudo-formale Übersicht über die Tools, Techniken und Methoden, die ich als wirksam erlebt oder beobachtet habe und die bewusst eher proskriptiv als präskriptiv angelegt ist. Es ist keine erschöpfende Studie, sondern lediglich darauf ausgelegt, die gängigen Anforderungen von Analysten abzudecken - insbesondere von solchen, die im Bereich Incident Response tätig sind.