Active Directory saldırılarını tespit etmek
Etki alanı denetleyicisi günlüklerinden ve ağ trafiğinden Kerberos, NTLM, çoğaltma, sertifika ve GPO kötüye kullanımlarını yakalayan tespitler kurar, tuzak hesaplarla saldırganı erken fark edersin.
Seviye 401 · 13 ders · 12 pratik lab
Dersler
Günlükler
- Etki alanı denetleyicisinde denetim ilkesi
- Kerberos olayları: 4768, 4769, 4771
- Dizin değişikliği olayları: 5136 ve grup üyeliği
- Kısa görev: son bir gündeki tüm yetkili grup değişikliklerini çıkar
Saldırılar
- AS-REP roasting tespiti
- Sahte biletler: altın ve gümüş bilet izleri
- Sertifika hizmetlerinin kötüye kullanımı
- GPO ile kod dağıtımını tespit etmek
- NTLM aktarma saldırısı izleri
- Kısa görev: kayıtlı bir saldırıda kullanılan iki tekniği olaylardan kanıtla
Tuzaklar
- Tuzak hesaplar ve SPN’ler
- Tuzak kimlik bilgileri ve paylaşımlar
- Bitirme görevi: CORP.LAB’e yönelik saldırı zincirini tespitlerinle yakala
Pratik lablar
- Etki alanı denetleyicisinin denetim ilkesini oku: auditpol çıktısından hesap yönetimi, dizin hizmeti değişiklikleri ve Kerberos alt kategorilerinin açık olup olmadığını yaz.
- Eksik denetim alt kategorilerini GPO ile aç: Gelişmiş denetim ilkesini etki alanı denetleyicileri OU’suna uygula ve grup üyeliği değişikliğinin artık 4728 olayı ürettiğini göster.
- Nesne düzeyinde denetimle öznitelik değişikliklerini kayda al: Kritik OU’ya denetim girişi ekleyerek 5136 olaylarını üret, hangi özniteliğin kim tarafından değiştiğini çıkar ve gürültü yaratan girişleri daralt.
- 4768, 4769 ve 4771 olaylarını birbirinden ayır: Verilen yirmi kaydı bilet isteme, servis bileti ve ön kimlik doğrulama hatası olarak sınıflandır ve hata kodlarını açıkla.
- Ön kimlik doğrulamasız bilet isteklerini SIEM’de bul: Ön kimlik doğrulama türü sıfır olan 4768 olaylarını ara, hedef hesapları ve kaynak adresi çıkar ve bir tespit kuralı olarak kaydet.
- Kayıtlı veride sahte bilet izlerini olağan biletlerden ayır: Önceden bilet isteği olmayan servis bileti kullanımını, olağandışı bilet ömrünü ve şifreleme türünü birlikte arayarak şüpheli oturumu bul ve kanıtlarını yaz.
- Son bir gündeki yetkili grup değişikliklerini çıkar: 4728, 4732 ve 4756 olaylarından kimin kimi hangi gruba eklediğini zaman sırasıyla listele.
- GPO üzerinden dağıtılan yeni betiği tespit et: SYSVOL dosya denetimi ve 5136 olaylarını birleştirerek bir ilkeye eklenen başlangıç betiğini, ekleyen hesabı ve etkilenen OU’yu bul.
- Sertifika hizmetleri ve NTLM aktarma izlerini aynı olayda kanıtla: Kayıtlı veride başka ad adına istenen sertifikayı 4886 ve 4887 olaylarından, kaynak adresi makine adıyla uyuşmayan oturumu 4624’ten bul ve iki tekniği zaman çizelgesinde bağla.
- Tuzak hesaba yapılan giriş denemesini kayıtlarda bul: Hiç kullanılmaması gereken tuzak hesap için 4625 ve 4768 olaylarını ara ve denemenin kaynağını yaz.
- SPN’li bir tuzak hesap kur ve bilet isteğinde uyarı üret: Gerçekçi görünen ama hiçbir servisin kullanmadığı bir hesap ve SPN oluştur, bu hesap için gelen her 4769 olayını uyarıya bağla ve kendi labında sına.
- Tuzak paylaşım ve tuzak kimlik bilgisiyle erken uyarı hattı kur: Denetimi açık bir tuzak paylaşım ve bir betiğe yerleştirilmiş tuzak hesap bilgisi hazırla, ikisine dokunulduğunda farklı önemde uyarı üret ve yanlış alarm kaynaklarını ele.
Kurs hakkında
Etki alanı denetleyicisi günlüklerinden ve ağ trafiğinden Kerberos, NTLM, çoğaltma, sertifika ve GPO kötüye kullanımlarını yakalayan tespitler kurar, tuzak hesaplarla saldırganı erken fark edersin.
Ne öğreneceksin
- Günlükler
- Saldırılar
- Tuzaklar
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan bir Kali Linux terminalinde ve her lab için ayrı kurulan bir uygulama etki alanında (CORP.LAB) geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.