Sysmon ile Windows telemetrisi
Sysmon’u kurup yapılandırır; süreç, ağ, kayıt defteri ve dosya olaylarını okumayı öğrenir, gürültüyü azaltan bir yapılandırmayla saldırı izlerini görünür kılarsın.
Seviye 201 · 17 ders · 15 pratik lab
Dersler
Kurulum ve olaylar
- Neden Sysmon: Windows günlüklerinin görmediği ayrıntılar
- Sysmon’u yapılandırma dosyasıyla kurmak
- Olay 1: süreç oluşturma, komut satırı ve üst süreç
- Olay 3: ağ bağlantıları
- Olay 11: dosya oluşturma ve indirilen dosyalar
- Kısa görev: bir PowerShell indirme komutunun izini üç olayda takip et
İleri olaylar
- Kayıt defteri olayları: Run anahtarları ve kalıcılık
- Yüklenen DLL’ler ve imza bilgisi
- Olay 10: LSASS’a erişen süreçler
- Olay 22: DNS sorguları
- Kısa görev: kayıt defterine eklenen kalıcılığı ve onu ekleyen süreci bul
Yapılandırma
- Yapılandırma dosyasının yapısı: include, exclude, kural grupları
- Gürültüyü azaltmak: güvenilir süreçleri dışarıda bırakmak
- ATT&CK ile eşlenmiş kural etiketleri
- EVTX dosyalarını PowerShell ve komut satırı araçlarıyla incelemek
- Kısa görev: olay sayısını yarıya indir ama saldırı olaylarını kaybetme
Bitirme
- Bitirme görevi: Sysmon kayıtlarından bir saldırının zaman çizelgesini çıkar
Pratik lablar
- Event 1’de şüpheli komut satırını bul: Sysmon süreç oluşturma kayıtlarını süz ve gizlenmiş PowerShell komutunu ebeveyniyle birlikte göster.
- İndirilen dosyanın çalıştırılmasını üç olayla bağla: Event 3, 11 ve 1 kayıtlarını aynı süreç kimliğiyle eşleştirip indirme ve çalıştırma zincirini kur.
- Adı değiştirilmiş sistem aracını OriginalFileName ile yakala: Farklı adla çalışan bir aracı Event 1’in OriginalFileName alanından bul ve yolunu raporla.
- Hangi sürecin dışarıya bağlandığını bul: Event 3 kayıtlarında bilinmeyen bir dış adrese bağlanan süreci ve bağlantı saatini belirle.
- DNS sorgusunu bağlantıyla ve süreçle eşleştir: Event 22’deki şüpheli alan adını Event 3 bağlantısına ve başlatan sürece bağla.
- Normal tarayıcı trafiği arasında gizlenen C2’yi bul: Tarayıcı dışındaki bir sürecin düzenli aralıklarla aynı adrese bağlandığını Event 3 kayıtlarından kanıtla.
- Run anahtarına eklenen kaydı ve ekleyeni bul: Event 13 kayıtlarında Run anahtarına yazılan değeri ve bunu yapan süreci bul.
- LSASS’a erişen süreci erişim haklarıyla ayıkla: Event 10 kayıtlarını GrantedAccess değerine göre süz ve olağan güvenlik ürünleri dışındaki erişimi bul.
- İmzasız DLL yüklemesini yakala: Event 7 kayıtlarında imzasız ve kullanıcı klasöründen yüklenen DLL’i bul ve yükleyen süreci açıkla.
- Sysmon yapılandırmasına yeni bir dahil etme kuralı ekle: Görev Zamanlayıcı klasörüne dosya yazılmasını yakalayan kural ekle, yapılandırmayı yükle ve olayı üret.
- Güvenilir yedekleme aracının gürültüsünü kes: Olayların yarısını üreten yedekleme sürecini dar bir dışlamayla çıkar ve saldırı olaylarının kaldığını doğrula.
- Dışlamanın içinden geçen saldırganı bul: Fazla geniş bir Image dışlamasının saldırı sürecini gizlediğini göster ve kuralı tam yol ve imza koşuluyla düzelt.
- Kurallara ATT&CK etiketleri ekle ve olayları say: Yapılandırmadaki kurallara teknik kimliği ekle ve EVTX dosyasında her teknikten kaç olay olduğunu çıkar.
- EVTX dosyasını komut satırından sorgula: Get-WinEvent ile dosyadan yalnızca belirli bir olay kimliğini ve saat aralığını çek.
- Süreç, ağ ve dosya olaylarını ProcessGuid ile tek zincirde birleştir: Bir EVTX dosyasında şüpheli sürecin ProcessGuid değerinden yola çıkarak ilgili 1, 3 ve 11 numaralı olayları sırala ve ne indirdiğini, nereye bağlandığını yaz.
Kurs hakkında
Sysmon’u kurup yapılandırır; süreç, ağ, kayıt defteri ve dosya olaylarını okumayı öğrenir, gürültüyü azaltan bir yapılandırmayla saldırı izlerini görünür kılarsın.
Ne öğreneceksin
- Kurulum ve olaylar
- İleri olaylar
- Yapılandırma
- Bitirme
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.