osquery ile uç nokta görünürlüğü
İşletim sistemini bir veritabanı gibi SQL ile sorgular; süreçleri, dinleyen portları, kullanıcıları ve kalıcılık noktalarını filo genelinde düzenli olarak izlersin.
Seviye 301 · 15 ders · 15 pratik lab
Dersler
Temeller
- osquery fikri: işletim sistemi bir tablo kümesi
- osqueryi ile tabloları keşfetmek
- Tabloları birleştirmek: süreç, port ve dosya
- Kısa görev: diskteki dosyası silinmiş çalışan süreçleri bul
Güvenlik sorguları
- Kullanıcılar, SSH yetkili anahtarları ve sudoers
- Kalıcılık: cron, systemd birimleri, başlangıç betikleri
- Dinleyen ve dışarı bağlanan süreçler
- osquery ile dosya bütünlüğü olayları
- Kısa görev: bir saldırganın eklediği üç kalıcılık noktasını bul
Filo
- osqueryd, zamanlanmış sorgular ve paketler
- Fark sonuçları: yalnızca değişeni görmek
- Filo yöneticisiyle canlı sorgu
- Sonuçları SIEM’e göndermek
- Kısa görev: tüm filoda yeni açılan portları saatlik izle
Bitirme
- Bitirme görevi: osquery ile filo çapında bir güvenlik izleme paketi kur
Pratik lablar
- osqueryi ile dinleyen portları süreçleriyle listele: listening_ports ve processes tablolarını birleştiren sorguyu yaz ve beklenmeyen servisi bul.
- Diskteki dosyası silinmiş çalışan süreci bul: processes tablosundaki on_disk alanını kullanarak silinmiş ikiliden çalışan süreci bul.
- Süreç, port ve dosya özetini tek sorguda birleştir: Dinleyen her sürecin ikili dosya özetini hash tablosundan çek ve bilinen kötü listesiyle karşılaştır.
- Yetkisiz SSH anahtarını bul: authorized_keys tablosundan tüm anahtarları kullanıcılarıyla listele ve onaylı listede olmayanı bul.
- Saldırganın eklediği cron ve systemd kalıcılığını bul: crontab ve systemd_units tablolarını sorgula, geçici klasörden çalışan iki girişi bul.
- Dışarıya bağlanan beklenmedik süreci bul: process_open_sockets ile dış adreslere bağlanan süreçleri listele ve web sunucusu altında çalışan kabuğu bul.
- Sudoers ve grup üyeliğinde gizli yetki yükseltmeyi bul: sudoers ve user_groups tablolarını birlikte sorgulayarak beklenmeyen tam yetkili kullanıcıyı bul.
- Dosya olaylarından değiştirilen yapılandırmayı yakala: file_events’i /etc için yapılandır, değişikliği tetikle ve olayı yapan süreçle eşleştir.
- Zamanlanmış bir sorgu paketi yaz: Saatte bir dinleyen portları toplayan paket tanımla ve osqueryd sonuç günlüğünde çıktıyı göster.
- Farklılık sonuçlarıyla yalnızca yeni açılan portları gör: Diferansiyel çıktıyı incele, yeni eklenen satırı bul ve hangi makinede açıldığını yaz.
- Filo yöneticisinden canlı sorguyla şüpheli dosyayı ara: Tüm makinelerde belirli özeti taşıyan dosyayı canlı sorguyla ara ve bulunan makineleri listele.
- Sorgu sonuçlarını SIEM’e uygun biçimde gönder: Sonuç günlüğünü JSON olarak ilet, alan adlarını eşle ve SIEM’de yeni port olayını sorgula.
- Ağır sorgunun makineleri yavaşlattığını bul ve düzelt: osquery_schedule istatistiklerinden en pahalı sorguyu bul, aralığını ve kapsamını küçült ve yükü karşılaştır.
- Süreç olayları tablosunun neden boş olduğunu bul: osquery bayraklarını ve denetim alt sistemi ayarını inceleyip olay toplamayı aç ve process_events tablosuna satır geldiğini göster.
- Üç makinede aynı sorguyu çalıştır ve sonuçları karşılaştır: Filo yöneticisinden üç makineye dinleyen portlar sorgusunu gönder ve yalnızca birinde açık olan portu bul.
Kurs hakkında
İşletim sistemini bir veritabanı gibi SQL ile sorgular; süreçleri, dinleyen portları, kullanıcıları ve kalıcılık noktalarını filo genelinde düzenli olarak izlersin.
Ne öğreneceksin
- Temeller
- Güvenlik sorguları
- Filo
- Bitirme
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.