ClamAV ve YARA ile zararlı dosya tespiti
Sunucuları ve dosya paylaşımlarını ClamAV ile tarar, YARA ile kendi tespit kurallarını yazar, yanlış alarmları ayıklayarak düzenli bir tarama düzeni kurarsın.
Seviye 201 · 15 ders · 15 pratik lab
Dersler
ClamAV
- ClamAV kurulumu ve imza güncellemesi: freshclam
- clamscan ve clamdscan ile tarama
- Erişim anında tarama ve karantina
- Kendi ClamAV imzalarını yazmak: özet ve gövde imzası
- Kısa görev: paylaşım klasöründeki şüpheli dosyaları karantinaya al
YARA
- YARA kuralının yapısı: meta, strings, condition
- Metin, onaltılık ve düzenli ifade dizgeleri
- Koşullar: sayılar, konumlar ve dosya boyutu
- pe ve hash modülleriyle daha isabetli kurallar
- Kuralı temiz dosyalarla sınamak
- Kısa görev: bir örnek ailesini yakalayan tek bir kural yaz
İşletim
- Zamanlanmış taramalar ve rapor e-postası
- Web’e yüklenen dosyaları yükleme anında taramak
- Tehdit istihbaratından gelen özet değerlerle sistem taraması
- Bitirme görevi: bir dosya sunucusunu tara, bulguları ayıkla ve raporla
Pratik lablar
- Paylaşım klasörünü tara ve bulunanları karantinaya al: Güncel imzalarla klasörü tara, bulunan dosyaları karantina klasörüne taşı ve raporu kaydet.
- İmzaları eski kaldığı için kaçan dosyayı yakala: Eski veritabanıyla yapılan taramayı güncel olanla karşılaştır ve aradaki farkı açıklayan dosyayı göster.
- Arşivin içine gizlenmiş örneği taramaya yakalat: İç içe arşivlerdeki dosyanın neden atlandığını bul, tarama sınırlarını ayarla ve örneği yakalat.
- Bir örnek için hash imzası yaz: Örneğin özetinden .hdb imzası oluştur, clamscan ile kullan ve yalnızca o dosyanın yakalandığını göster.
- Aileyi kapsayan bir gövde imzası yaz: Üç örnekte ortak bayt dizisini bul, .ndb imzası yaz ve temiz dosyalarda yanlış alarm olmadığını göster.
- Bir dize ile çalışan ilk YARA kuralını yaz: Örnekteki benzersiz metni kullanarak kural yaz ve yalnızca örneği yakaladığını göster.
- Bu YARA kuralının kaçırdığı örneği bul ve kuralı düzelt: Ailenin dördüncü örneğini neden kaçırdığını bul, koşulu genişlet ve temiz dosyalarda eşleşme olmadığını göster.
- Hex ve joker karakterli dizeyle değişen baytları kapsa: Sürümler arasında değişen baytları joker karakterli hex dizesiyle yaz ve tüm sürümleri yakala.
- pe modülüyle yanlış alarmları sıfırla: Temiz yazılımlarda da tetiklenen kuralı içe aktarım ve bölüm koşullarıyla daralt ve test setinde sonucu kanıtla.
- Dosya boyutu ve konumla hızlı bir kural yaz: Büyük bir dosya deposunda yavaş çalışan kuralı boyut ve ofset koşullarıyla hızlandır ve süreyi karşılaştır.
- Tehdit istihbaratındaki özetlerle sunucuyu tara: Verilen özet listesini kullanarak dosya sistemini tara ve eşleşen dosyanın yolunu raporla.
- Web yüklemelerini kaydetmeden önce tara: Yükleme klasörü için clamd ile anlık tarama ayarla ve zararlı test dosyasının reddedildiğini göster.
- Zamanlanmış taramanın sessizce başarısız olduğunu bul: Cron işinin neden boş rapor gönderdiğini bul, düzelt ve bir sonraki çalıştırmada bulguyu e-postayla göster.
- Zararsız dosyayı da yakalayan imzayı daralt: Kendi yazdığın imzanın kurumsal bir aracı yanlışlıkla yakaladığını göster, imzayı mantıksal koşulla daralt ve hem örnek setinde hem temiz sette sına.
- Yavaş çalışan YARA kuralındaki pahalı dizgiyi bul: Kuralı büyük bir klasörde süre ölçerek çalıştır, çok kısa ve çok yaygın olan dizgiyi belirle ve hangisinin taramayı yavaşlattığını not et.
Kurs hakkında
Sunucuları ve dosya paylaşımlarını ClamAV ile tarar, YARA ile kendi tespit kurallarını yazar, yanlış alarmları ayıklayarak düzenli bir tarama düzeni kurarsın.
Ne öğreneceksin
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.