EDR işletimi: Velociraptor ile toplama, yalıtım ve müdahale
Uç noktalara Velociraptor istemcileri dağıtır, olay anında kanıt toplar, şüpheli makineyi yalıtır ve tespitleri kuruma göre ayarlarsın.
Seviye 401 · 14 ders · 15 pratik lab
Dersler
Dağıtım
- Velociraptor mimarisi: sunucu, istemci, artefakt
- İstemcileri dağıtmak ve sağlığını izlemek
- VQL ile sorgu yazmak
- Kısa görev: iki istemciyi kaydet ve süreç listelerini topla
Toplama ve inceleme
- Artefakt toplama: süreçler, ağ, kalıcılık
- Olay anında hızlı kanıt paketi
- Filo genelinde av başlatmak
- Sürekli olay izleme: yeni süreç ve hizmet
- Kısa görev: şüpheli makineden 15 dakikada kanıt topla
Yanıt
- Makineyi ağdan yalıtmak, yönetim kanalını açık tutmak
- Süreç sonlandırma ve dosya karantinası
- EDR yanıt oyun kitabı: kim, ne zaman, kimin onayıyla
- Kısa görev: bulaşık makineyi yalıt ve kötü süreci durdur
Bitirme
- Bitirme görevi: üç makineye yayılan bir olayı EDR ile sınırla
Pratik lablar
- VQL ile bir istemcinin süreç listesini topla: Basit bir VQL sorgusu yaz, istemcide çalıştır ve sonuçta yüksek yetkiyle çalışan süreçleri süz.
- Şüpheli makineden 15 dakikada kanıt paketi topla: Süreç, ağ bağlantısı ve kalıcılık eserlerini tek koleksiyonda topla ve indirilen paketi doğrula.
- Diskte olmayan ama bellekte çalışan aracı VQL ile bul: Süreç ve modül eserlerini birleştiren VQL yaz ve dosyası silinmiş yüklenmiş modülü yakala.
- Filo genelinde bir göstergenin izini sür: Verilen dosya adını ve özetini tüm istemcilerde arayan bir hunt başlat ve isabetleri raporla.
- Yeni servis kurulumlarını sürekli izle: Yeni servis olayını izleyen sürekli bir izleme kur, test servisi oluştur ve olayın geldiğini göster.
- Hunt sonuçlarında gerçek bulguyu gürültüden ayır: Yüzlerce isabetli bir hunt’ı ebeveyn süreç ve imzaya göre grupla ve tek gerçek kötü niyetli makineyi bul.
- İstemci sağlığını kontrol et ve kopuk olanı bul: Sunucu panelinde son görülme zamanlarını incele ve 24 saattir bağlanmayan istemciyi belirle.
- Yönetim kanalını açık bırakarak makineyi izole et: İzolasyonu başlat, makinenin internete çıkamadığını ve EDR sunucusuna hâlâ bağlı olduğunu göster.
- Kötü süreci sonlandır ve dosyasını karantinaya al: Süreci uzaktan sonlandır, ikiliyi karantinaya al ve yeniden başlamadığını kalıcılık kontrolüyle doğrula.
- Yanlış makineyi izole etmemek için kimliği doğrula: Aynı adı taşıyan iki istemciyi IP, MAC ve son kullanıcıyla ayırt et ve yalnızca doğru olanı izole et.
- İzolasyonu kaldırmadan önce temizliği kanıtla: Kalıcılık, ağ ve süreç kontrollerini yeniden çalıştır, kalıntı kalmadığını göster ve izolasyonu kaldır.
- Saldırganın kullandığı zamanlanmış görevi tüm filoda bul: Bir makinede bulunan görev adını ve komutunu kullanarak filoda VQL hunt’ı başlat ve yayılımı haritala.
- Hazır bir izleme kuralını bir makine grubuna ata: Yeni süreç oluşturma izleme kuralını yalnızca sunucu etiketli istemcilere ata ve ilk olayların geldiğini göster.
- Yalıtılmış makinenin durumunu konsoldan doğrula: Yalıtım uygulanmış bir istemcide hangi bağlantıların açık kaldığını konsoldan ve makineden kontrol et ve durumu vaka notuna yaz.
- Karantinaya alınan dosyanın kaydını ve özetini çıkar: Karantina listesinden dosyanın özgün yolunu, özet değerini ve karantina zamanını bul ve vaka kaydına ekle.
Kurs hakkında
Uç noktalara Velociraptor istemcileri dağıtır, olay anında kanıt toplar, şüpheli makineyi yalıtır ve tespitleri kuruma göre ayarlarsın.
Ne öğreneceksin
- Dağıtım
- Toplama ve inceleme
- Yanıt
- Bitirme
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.