Kod olarak tespit: kural deposu, testler ve kapsama
Tespit kurallarını yazılım gibi yönetirsin: sürüm denetimi, gözden geçirme, otomatik testler, saldırı benzetimiyle doğrulama ve ATT&CK kapsama haritasıyla eksikleri görmek.
Seviye 501 · 13 ders · 15 pratik lab
Dersler
Kural deposu
- Kural deposunun yapısı ve adlandırma
- Kural gözden geçirme süreci ve kalite ölçütleri
- Sigma kurallarını otomatik doğrulamak
- Kısa görev: on kuralı depoya taşı ve doğrulama hatalarını düzelt
Test ve doğrulama
- Kurallar için birim testi: beklenen eşleşme ve eşleşmeme
- Saldırı benzetimiyle doğrulamak: Atomic Red Team testleri
- CI ile kuralları SIEM’e otomatik yayınlamak
- Kısa görev: test geçmeyen kuralın yayınını durduran hattı kur
Kapsama ve ölçüm
- ATT&CK kapsama haritası çıkarmak
- Tespit ölçütleri: isabet, gürültü, tespit süresi
- Eksikleri tehdit modeline göre önceliklendirmek
- Kısa görev: kapsama haritasındaki en riskli beş boşluğu seç
Bitirme
- Bitirme görevi: sınanan, otomatik yayınlanan ve ölçülen bir tespit programı kur
Pratik lablar
- Kural deposundaki adlandırma hatalarını düzelt: Dosya adı, kimlik ve klasör kuralına uymayan beş kuralı bul ve standarda göre yeniden adlandır.
- Doğrulamadan geçmeyen Sigma kurallarını onar: sigma check çıktısındaki hataları gider ve tüm kuralların doğrulamadan geçtiğini göster.
- Kural incelemesinde kalite sorunlarını yakala: Birleştirme isteğindeki kuralı ölçütlere göre incele, eksik test ve geniş koşulu yorum olarak yaz.
- Bir kural için eşleşen ve eşleşmeyen test olayı yaz: Kuralın yakalaması ve yakalamaması gereken iki örnek olayı ekle ve test betiğinin geçtiğini göster.
- Testi kırılan kuralın yayınını durduran hattı kur: CI yapılandırmasına test aşaması ekle, kasıtlı bozuk kuralla hattın durduğunu göster.
- Saldırı benzetimiyle kuralın gerçekten tetiklendiğini doğrula: Atomic testini çalıştır, üretilen günlükte kuralın eşleştiğini göster ve eşleşmeyen kuralı düzelt.
- Kuralları SIEM’e otomatik yayınlayan adımı ekle: Ana dala birleşen kuralı çevirip SIEM’e yükleyen hat adımını yaz ve sürüm etiketini kaydet.
- Kural etiketlerinden ATT&CK kapsama haritası çıkar: Depodaki kuralların etiketlerini topla ve taktik başına kapsanan teknik sayısını tabloya dök.
- Kural başına gürültü ve isabet oranını hesapla: Bir aylık alarm kapanış verisinden her kuralın doğru alarm oranını hesapla ve en kötü üçü listele.
- Kapsama haritasındaki en riskli beş boşluğu seç: Tehdit modelindeki teknikleri mevcut kurallarla karşılaştır ve boşlukları olasılık ve etkiyle sırala.
- Kapsıyor görünen ama veri eksik olan tekniği bul: Kuralı olan ama günlük kaynağı bağlı olmayan teknikleri bul ve haritayı gerçeğe göre düzelt.
- Bozuk biçimli kuralı doğrulayıcıyla yakala: Beş kurallık depoda sigma check çalıştır, hatalı alanı olan iki kuralı bul ve düzelt.
- Kural deposuna katkı için dal aç ve inceleme iste: Yeni bir kuralı ayrı bir dalda ekle, açıklayıcı bir işleme mesajı yaz ve birleştirme isteğinde test kanıtını göster.
- Kuralların gerektirdiği log kaynaklarını listele: Kural deposundaki logsource alanlarını topla ve kaynak başına kural sayısını çıkar.
- Kural kaynaklarını gerçekten gelen veriyle karşılaştır: Gereken kaynakları SIEM’de son yedi günde kayıt gelen kaynaklarla eşle ve verisi olmayan kuralları işaretle.
Kurs hakkında
Tespit kurallarını yazılım gibi yönetirsin: sürüm denetimi, gözden geçirme, otomatik testler, saldırı benzetimiyle doğrulama ve ATT&CK kapsama haritasıyla eksikleri görmek.
Ne öğreneceksin
- Kural deposu
- Test ve doğrulama
- Kapsama ve ölçüm
- Bitirme
Ön koşullar
Aynı yolun 401 düzeyine kadar olan konularında deneyimli olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 501 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.