Wie Wireshark für Netzwerke soll Stratoshark Transparenz für Betriebssysteme und Apps schaffen durch die Analyse von Systemcalls und Logs. Das Open-Source-Tool baut in großen Teilen auf dem Quellcode von Wireshark auf. Dahinter steht Wireshark-Erfinder Gerald Combs, dessen Arbeitgeber Sysdig auch die zugehörigen Tools Falco und Sysdig zur Erfassung der Aktivitäten und Logs liefert.

Mitte Mai hat sich Sysdig entschieden, Stratoshark in die Hände der gemeinnützigen Wireshark Foundation zu legen. Über die Hintergründe sprach die iX-Redaktion mit dem Wireshark-Erfinder Gerald Combs und Alexander Lawrence, Director of Cloud Security Strategy bei Sysdig.

iX: Gerald, was hat es mit der Spende von Stratoshark an die Wireshark Foundation auf sich?

Gerald Combs: Die Wireshark Foundation ist eine gemeinnützige Organisation in den USA, die es sich zum Ziel gesetzt hat, Menschen im Umgang mit Netzwerkanalyse auszubilden. Mit der Spende von Stratoshark erweitern wir unsere Mission: Bisher liegt unser Fokus auf der Paket-Analyse, künftig wollen wir aber auch tief in Betriebssystem-Ereignisse blicken können.

iX: Was war die Motivation hinter der Entwicklung von Stratoshark und worin unterscheidet es sich konzeptionell von Wireshark?

Combs: Wireshark zerlegt Pakete mit seiner Dissektions-Engine in alle Protokollbestandteile, ermöglicht Filterung, Drill-Down und ausführliche Analysen. Stratoshark dagegen arbeitet nicht auf Basis von Netzwerk-Paketen, sondern auf Basis von Systemaufrufen und Protokollnachrichten. Es erlaubt ähnliche Filter- und Analysemöglichkeiten – nur eben in der Systemaufruf- und Cloud-Welt. Das User-Interface gleicht stark dem von Wireshark, damit Nutzer sofort zurechtkommen. Unter der Haube nutzen wir viele gemeinsame Bibliotheken, haben sie aber so erweitert, dass sie Systemaufrufe und Cloud-Logs interpretieren können. Wir konzentrieren uns hauptsächlich auf die Cloud-Systeme, aber Sie könnten dies auch nutzen, um jedes Linux-System wirklich in Ordnung zu bringen.

iX: Wo liegt der Haupteinsatz von Stratoshark? Mehr als Debugging-Werkzeug oder als Sicherheits-Analysetool?

Combs: Im Moment liegt der Fokus auf der Sicherheitsanalyse. Ursprünglich haben wir Stratoshark als Ergänzung zu Falco entwickelt – einem hostbasierten IDS (Intrusion Detection System, Anmerkung der Redaktion) für Systemaufrufe. Falco erkennt und meldet verdächtige Ereignisse; Stratoshark erlaubt es, diese Events detailliert nachzuverfolgen. Wie in der Networking-Welt möchte man oft einen tieferen Einblick in das bekommen, was auf dem System vor sich geht.

iX: Wie viel Prozent des Codes teilt Stratoshark mit Wireshark? Wir haben Dissektions-Engines, Baumstrukturen zur Analyse, wie in Wireshark. Aber wie viel Prozent Code teilen sich die beiden Tools?

Combs: Ich habe keinen konkreten Prozentsatz, aber es gibt eine Menge Code, der geteilt genutzt wird. Das ist auch beabsichtigt. Wir haben diese wirklich leistungsstarke Analyse-Engine, die quasi nur darauf wartete, verwendet zu werden. So haben wir sie angepasst, um sie auch für Systemaufrufe zu verwenden. Der UI-Code sieht wieder sehr vertraut aus. Das ist beabsichtigt. Wir möchten diesen vertrauten Workflow haben, den man bereits aus Wireshark kennt. Wer die Arbeit mit Wireshark gewohnt ist, kann mit Stratoshark schnell loslegen und umgekehrt. Bei einigen der UI-Widgets gibt es ein paar Unterschiede in den Elementen.

Der andere große Unterschied ist die Art und Weise, wie wir die Ereignisse analysieren, die hereinkommen. Wir haben anderen Code für eingehende Ereignisse: Es ist ein Plug-in namens Falco, genauer Falco Bridge. Den Namen werden wir wohl noch in Falco Events ändern.

iX: Für welche Betriebssysteme ist Stratoshark verfügbar?

Combs: Offiziell bieten wir auf den Wireshark-Seiten Pakete für Windows und macOS an. Für Linux-Distributionen ist die Geschichte etwas komplexer. Die verschiedenen Linux-Distributionen haben traditionell ihre eigenen Wireshark-Pakete angeboten. Meine Hoffnung ist, dass sie das auch mit Stratoshark machen. Ich weiß, dass das für Debian und Ubuntu in Arbeit ist. Ich müsste aber prüfen, ob dies auch für Fedora der Fall ist. Die Erfassung von Systemaufrufen funktioniert derzeit nur unter Linux.

iX: Wie bekommt Stratoshark die relevanten Daten?

Combs: Wir nutzen die Bibliotheken libsinsp and libscap, die von Falco und dem CLI-Tool Sysdig verwendet werden, um Systemaufrufe zu erfassen. Sysdig war, glaube ich, das erste Tool, das diese beiden Bibliotheken verwendete. Die Erfassung erfolgt wahlweise über ein Kernel-Modul oder eBPF als eine Art neuere Standardtechnologie. Ich denke, wir werden uns in Zukunft auf eBPF konzentrieren. Zusätzlich existiert eine Plug-in-Schnittstelle, mit der man etwa Daten aus GCP- oder Kubernetes-Überwachungsprotokollen sowie aus AWS Cloud Trail einspeisen kann.

iX: Was steht als Nächstes auf der Stratoshark-Roadmap?

Combs: Die aktuelle öffentliche Version ist 0.9 und wir müssen zunächst alles in Form bringen. Wir arbeiten gerade an der Version 1.0, besonders an erweiterten Protokollanalyse-Funktionen. Danach folgt wahrscheinlich die finale Veröffentlichung im Spätsommer.

Was tun, wenn der Windows-PC virenverseucht ist oder man zumindest den Verdacht hat? Wie lässt sich das personalisierte Windows wiederherstellen? c’t hat für solche Fälle die passenden Helferlein entwickelt: Desinfec’t und c’t-WIMage. Im c’t uplink stellen wir beide Tools vor.

In dieser Folge erzählt c’t-Redakteur Dennis Schirrmacher, wie Desinfec’t bei der Virensuche und Datenrettung hilft und wo die Grenzen des Tools liegen (c‘t 12/2025). c’t-Redakteur Jan Schüßler stellt das Programm c’t-WIMage vor, mit dem Sie Windows sichern und auf beliebiger Hardware wiederherstellen (c’t 13/2025).

Zu Gast im Studio: Dennis Schirrmacher, Jan Schüßler
Host: Greta Friedrich
Produktion: Ralf Taschke

Mehr zum Thema Desinfec’t finden Sie in der c’t 12/2025. In der Ausgabe 13/2025 erfahren Sie mehr über c’t WIMage. Beide Ausgaben gibt’s auf ct.de sowie in der c’t-App für iOS und Android. Die Ausgabe 13/2025 gibt es ab dem 13. Juni 2025 am Kiosk.

In unserem WhatsApp-Kanal sortieren Torsten und Jan aus der Chefredaktion das Geschehen in der IT-Welt, fassen das Wichtigste zusammen und werfen einen Blick auf das, was unsere Kollegen gerade so vorbereiten.

► c’t Magazin
► c’t auf Mastodon
► c’t auf Instagram
► c’t auf Facebook
► c’t auf Bluesky
► c’t auf Threads
► c’t auf Papier: überall, wo es Zeitschriften gibt!

(gref)

Die Welt ist voller spannender Motive – manchmal spektakulär, manchmal ganz still und verborgen. Unsere Galeriefotografinnen und -fotografen laufen mit offenen Augen durch die Welt und haben die unterschiedlichsten Motive eingefangen. Es treffen stimmungsvolle Lichtspiele auf spannende Perspektiven – von fliegenden Delfinen bis zu leuchtenden Spinnennetzen.

Kranhäuser….

Aus dieser Perspektive ragt eines der Kölner Kranhäuser auf interessante Weise in die Komposition hinein. Der Schwarz-Weiß-Effekt betont die architektonischen Linien und Kontraste ganz besonders. JeanFP gelingt es, die markante Bauform auf interessante Weise einzufangen.

Flying Dolphin

Vor Madeira springt ein Delfin aus dem Wasser und scheint für einen Moment schwerelos durch die Luft zu gleiten. Thomas Becher hat diesen Augenblick in seinem Bild Flying Dolphin eingefangen. Die Szene ist voller Dynamik und führt uns die Eleganz der Meeresbewohner vor Augen.

Das Netz 1 – WWW

Die untergehende Sonne taucht ein Spinnennetz, das sich zwischen den Halmen spannt, in warmes Licht und lässt seine feinen Fäden schimmern. Auch die Gräser im Hintergrund leuchten golden und bilden zusammen mit dem Netz ein stimmungsvolles Bild, dem Galeriefotograf khan den Titel Das Netz 1 – WWW gegeben hat.

Schneeeule

Galeriefotograf JensonR hat dieses eindrucksvolle Porträt einer Schneeeule eingefangen. Mit aufgerissenem Schnabel und weit geöffneten Augen scheint das Tier seine Emotionen zu zeigen und den Betrachter eindringlich anzublicken. Die leuchtend gelben Augen heben sich markant vom weißen Gefieder ab und verleihen dem Bild eine kraftvolle Ausdrucksstärke.

Mohnuntergang

Vor dem Hintergrund der untergehenden Sonne hebt sich eine einzelne Mohnblüte ab, während die Sonne selbst nur als verschwommener, orangefarbener Fleck zu sehen ist. Fotograf NAlois hat dieser stimmungsvollen und harmonischen Aufnahme den durchaus kreativen Titel Mohnuntergang gegeben.

Zusammen sind wir viele

Mit dem richtigen Zoom-Objektiv können Zoos für Tierfotografen ein echtes Motiveldorado sein. Auf dem Bild Zusammen sind wir viele von mangela wartet eine Gruppe Erdmännchen gespannt auf die Fütterung. Das Licht kommt von vorne, beleuchtet ihre Gesichter und formt aus der Gruppe einige interessante Silhouetten.

fadenscheinig

Eine Glühbirne reduziert auf Form und Licht. Schwarz-weiß, klar, minimalistisch. Klicker3D setzt auf Kontraste und Spiegelungen und macht die Ästhetik des Einfachen mit fadenscheinig auf subtile Weise sichtbar.

Alle Bilder dieser Woche finden Sie hier noch einmal in der Übersicht:

Bild 1 von 7

(vat)