Uç nokta korumasının temelleri: antivirüs ve EDR
İmza tabanlı antivirüsten davranış tabanlı EDR’a uzanan uç nokta korumasının nasıl çalıştığını, neleri gördüğünü ve neleri kaçırdığını örneklerle öğrenirsin.
Seviye 101 · 14 ders · 15 pratik lab
Dersler
Antivirüs nasıl çalışır
- Uç nokta nedir, neden ilk hedeftir
- İmzalar ve özet değerler: bilinen kötüyü tanımak
- Sezgisel tarama ve kum havuzu
- EICAR test dosyasıyla korumayı güvenle denemek
- Kısa görev: test dosyasının hangi aşamada yakalandığını bul
EDR
- EDR nedir: telemetri, tespit, yanıt
- Süreç ağaçları: hangi program neyi başlattı
- Davranış tespiti: imzası olmayan saldırıyı yakalamak
- Yanıt eylemleri: yalıtım, süreç sonlandırma, karantina
- Kısa görev: şüpheli bir süreç ağacındaki ilk kötü adımı bul
Sınırlar ve işletim
- Koruma neden atlatılır: dosyasız saldırı ve meşru araçlar
- Dışlamaların riski: yanlış yapılandırılmış istisnalar
- Bir EDR uyarısından vakaya: ilk on dakika
- Bitirme görevi: bir uç nokta uyarısını incele ve karar ver
Pratik lablar
- Bu dosyanın özetini bilinen kötü listesinde ara: Şüpheli üç dosyanın SHA-256 özetini hesapla, verilen tehdit listesiyle karşılaştır ve eşleşeni bul.
- EICAR dosyasının hangi aşamada yakalandığını bul: Test dosyasını farklı yollarla diske bırak, tarama kayıtlarından yakalanma anını ve yöntemini çıkar.
- İmzası tutmayan ama davranışı kötü olan dosyayı ayırt et: Sandbox raporlarını karşılaştır, bilinen imzası olmayan ama şüpheli davranan örneği gerekçesiyle seç.
- Süreç ağacında ilk kötü adımı bul: EDR telemetrisinden süreç ağacını kur ve olağan dışı ilk ebeveyn-çocuk ilişkisini işaretle.
- Word’den başlayan zinciri sonuna kadar izle: JSON telemetride WINWORD’den çıkan süreçleri sırala ve sonunda hangi dosyanın indirildiğini bul.
- Meşru araçlarla yapılan saldırıyı süreç ağacından çıkar: İmzalı Windows araçlarının sıra dışı kullanımını ağaçta bul ve her adımı ATT&CK tekniğiyle eşle.
- Gürültülü telemetride tek şüpheli komut satırını bul: Yüzlerce süreç kaydını komut satırına göre süz ve kodlanmış PowerShell çağrısını bul.
- Bu alarm için doğru müdahale eylemini seç: Alarm ayrıntılarına bakarak izolasyon, süreç sonlandırma ya da karantina seçeneklerinden birini gerekçesiyle seç.
- Riskli dışlama kuralını bul ve daralt: EDR politikasındaki dışlamaları incele, tüm Temp klasörünü kapsayan kuralı bul ve tek dosyaya indir.
- Uç nokta alarmında ilk on dakikanın kararını ver: Telemetri, kullanıcı ve varlık bilgisini birleştir, alarmın gerçek olup olmadığına karar ver ve kanıtla notu yaz.
- Karantinaya alınan dosyanın kaydını oku: Karantina kaydından dosyanın yolunu, özetini, kullanıcısını ve saatini çıkar.
- Atlatılmış korumayı telemetri boşluğundan fark et: Bir uç noktanın aniden telemetri göndermeyi kestiği anı bul ve hemen öncesindeki koruma kapatma komutunu yakala.
- Aynı dosyanın üç tespit yöntemindeki sonucunu karşılaştır: Verilen dört örnek için imza, sezgisel ve davranış kayıtlarını yan yana koy, her yöntemin neyi kaçırdığını tabloyla göster ve hangisine güveneceğini gerekçelendir.
- Zararsız test dosyasıyla korumanın üç katmanını sına: EICAR dosyasını indirme, arşivden çıkarma ve çalıştırma aşamalarında dene ve hangi katmanın hangi aşamada devreye girdiğini kaydet.
- Koruma dışında bırakılmış klasörü test dosyasıyla ortaya çıkar: Test dosyasını farklı klasörlere koyarak taranmayan yolu bul, dışlama listesindeki gereksiz girişi kaldır ve yeniden sınayarak kanıtla.
Kurs hakkında
İmza tabanlı antivirüsten davranış tabanlı EDR’a uzanan uç nokta korumasının nasıl çalıştığını, neleri gördüğünü ve neleri kaçırdığını örneklerle öğrenirsin.
Ne öğreneceksin
- Antivirüs nasıl çalışır
- EDR
- Sınırlar ve işletim
Ön koşullar
Ön bilgi gerekmez; kurs sıfırdan başlar.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs başlangıç düzeyindedir; her terim ilk geçtiği yerde açıklanır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.