Tehdit avı için veri analizi
Hipotez odaklı av yöntemiyle büyük log kümelerinde istifleme, sıklık, zaman ve ilişki analizi yapar; bulguyu tekrar kullanılabilir tespit kuralına ve av raporuna dönüştürürsün.
Seviye 401 · 17 ders · 15 pratik lab
Dersler
Av yöntemi
- Av döngüsü: hipotez, veri, analiz, sonuç
- Hipotezleri ATT&CK tekniklerine bağlamak
- Av için veri hazır mı: kapsama kontrolü
- Kısa görev: av hipotezi listesi
Analiz teknikleri
- İstifleme: en az görülen değerleri bulmak
- Sıklık ve entropi ile rastgele adlar
- Zaman analizi: mesai dışı ve düzenli aralık
- İlişki çizgesi: kim kime bağlandı
- Kısa görev: sistem araçlarının kötüye kullanımını avla
Av senaryoları
- Kalıcılık avı
- Kimlik bilgisi erişimi avı
- Yanal hareket avı
- Veri çıkışı avı
- Kısa görev: gizli komuta kanalını avla
Sonuç
- Av bulgusunu tespit kuralına çevirmek
- Av raporu ve ölçütleri
- Bitirme görevi: bir haftalık kurum verisinde tam av
Pratik lablar
- Av hipotezi yaz: Verilen tehdit raporundan veriyle sınanabilir üç av hipotezi yazıp her birini bir ATT&CK tekniğiyle eşle.
- Veri kapsamını denetle: Beş av hipotezi için gereken alanların hangi kaynaklarda bulunduğunu ve hangi makinelerin hiç kayıt göndermediğini çıkar.
- Av birikimini önceliklendir: On hipotezi tehdit ilgisi, veri hazırlığı ve emek açısından puanlayıp gerekçeli bir öncelik sırası çıkar.
- Yığınlama ile nadir hizmetler: Tüm sunuculardaki hizmet adlarını yığınlayıp yalnızca bir ya da iki makinede görülenleri listele.
- Entropiyle rastgele dosya adları: Geçici klasörlerde oluşturulan çalıştırılabilir dosya adlarının entropisini hesaplayıp rastgele adlandırılmış olanları öne çıkar.
- Yerleşik araçların kötüye kullanımı: Sistemle gelen araçların komut satırı argümanlarını yığınlayıp indirme, kodlama ve uzaktan çalıştırma içeren nadir kullanımları bul.
- Mesai dışı yönetici etkinliği: Yönetici oturumlarını saat ve güne göre gruplayıp her hesabın olağan saatleri dışındaki oturumlarını listele.
- Bağlantı grafiğinde köprü düğüm: Oturum açma olaylarından kimin kime bağlandığı grafiğini kurup iki ayrı ağ bölümünü birbirine bağlayan beklenmedik makineyi bul.
- İlk kez görülen bağlantı kenarları: Geçen ayın bağlantı grafiğiyle bu haftayı karşılaştırıp yeni ortaya çıkan yönetici oturumu kenarlarını ve kaynaklarını sırala.
- Kalıcılık avı: yeni zamanlanmış görevler: Son yedi günde oluşturulan zamanlanmış görevleri oluşturan hesap ve komutla listeleyip yazılım dağıtımına ait olmayanları ayır.
- Kimlik bilgisi erişimi avı: Kimlik doğrulama sürecinin belleğine erişen süreçleri ve kısa sürede çok sayıda hizmet bileti isteyen hesapları bulup önceliklendir.
- Gizli komut kanalı avı: DNS TXT sorguları ve uzun alt alan adları üzerinden veri taşıyan istemciyi sorgu sayısı, uzunluk ve benzersizlik oranıyla bul.
- Av raporu yaz: Tamamlanmış bir avın hipotezini, bakılan veriyi, bulguyu ve sonraki adımı tek sayfalık hunt.md dosyasına yaz.
- Bulguyu tespit kuralına çevir: Avda bulunan deseni SQL tabanlı bir tespit sorgusuna çevirip geçmiş otuz günde kaç uyarı üreteceğini ölç.
- Kuralın yanlış pozitiflerini ayıkla: Çok gürültülü çıkan bir av kuralını istisna listesi ve ek koşullarla daraltıp gerçek bulguyu kaçırmadığını kanıtla.
Kurs hakkında
Hipotez odaklı av yöntemiyle büyük log kümelerinde istifleme, sıklık, zaman ve ilişki analizi yapar; bulguyu tekrar kullanılabilir tespit kuralına ve av raporuna dönüştürürsün.
Ne öğreneceksin
- Av yöntemi
- Analiz teknikleri
- Av senaryoları
- Sonuç
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.