Tespit mühendisliğine giriş: Sigma kuralları
Bir saldırı davranışını tespit kuralına dönüştürmeyi öğrenir, Sigma ile üründen bağımsız kurallar yazar, bunları farklı SIEM sorgu dillerine çevirir ve gerçek loglarla sınarsın.
Seviye 201 · 16 ders · 15 pratik lab
Dersler
Tespit düşüncesi
- Tespit mühendisliği nedir
- Göstergeden davranışa: neden özet değer yetmez
- ATT&CK teknikleriyle tespit hedefi seçmek
- Kural yaşam döngüsü: fikir, yazım, test, yayın, emeklilik
- Kısa görev: bir olay raporundan tespit edilebilecek üç davranış çıkar
Sigma
- Sigma kuralının yapısı: logsource, detection, condition
- Değiştiriciler: contains, startswith, re, base64offset
- Koşullar: and, or, not, 1 of
- Üst veri: seviye, etiketler, yanlış pozitifler
- Kısa görev: kodlanmış PowerShell komutlarını yakalayan kural yaz
Dönüştürme ve test
- sigma-cli ile kuralı Elastic ve Splunk sorgusuna çevirmek
- İşleme hatları: alan adlarını kuruma uyarlamak
- Kuralı iyi ve kötü örnek loglarla sınamak
- Topluluk kurallarını uyarlamak ve ayarlamak
- Kısa görev: beş kuralı çevir, ikisinin yanlış pozitifini gider
Bitirme
- Bitirme görevi: bir saldırı zinciri için beş kurallık tespit paketi yaz
Pratik lablar
- Olay raporundan tespit edilebilir üç davranış çıkar: Raporu oku, göstergeleri değil davranışları seç ve her biri için gereken günlük kaynağını yaz.
- Özet tabanlı tespiti davranış tabanlıya çevir: Yalnızca dosya özetine bakan kuralı, aracın komut satırı kalıbını yakalayacak şekilde yeniden tasarla.
- Hangi tekniğin önce yazılacağına veriyle karar ver: Beş ATT&CK tekniğini eldeki günlüklere ve tehdit raporuna göre puanla ve ilk iki kuralı seç.
- İlk Sigma kuralını yaz: whoami çalıştırılması: logsource, detection ve condition bölümleriyle kuralı yaz ve örnek günlükte eşleştiğini göster.
- Kurala seviye, etiket ve yanlış pozitif notu ekle: Eksik üst verisi olan kuralı ATT&CK etiketi, seviye ve bilinen yanlış pozitiflerle tamamla ve doğrula.
- contains ve endswith ile certutil indirmesini yakala: Değiştiricileri kullanarak indirme parametrelerini yakalayan kuralı yaz ve üç varyantta test et.
- Bu Sigma kuralının kaçırdığı olayı bul ve düzelt: Parametre sırası değişince kaçan olayı bul ve koşulu all değiştiricisiyle sıraya duyarsız hale getir.
- Koşulda 1 of ve not ile yönetici işini dışla: Birden çok seçimi 1 of ile birleştir, yönetim sunucusunu süzgeçle dışla ve iki veri setinde doğrula.
- base64offset ile kodlanmış komutu yakala: Kodlanmış PowerShell içindeki indirme dizesini üç kaydırma varyantında yakalayan kuralı yaz.
- Kuralı sigma-cli ile sorgu diline çevir: Bir kuralı Elastic ve Splunk sorgusuna çevir ve iki çıktıyı karşılaştır.
- Alan adlarını kurumunkilere uyarlayan pipeline yaz: Çevrilen sorgunun boş döndüğünü gör, alan eşlemesi yapan işleme hattını yaz ve yeniden çevir.
- Topluluk kuralını kendi ortamına uyarla: Hazır kuralı iyi ve kötü örnek günlüklerle sına, yanlış pozitifi gider ve değişikliği belgeye yaz.
- İki kuralın aynı olayı iki kez alarmlamasını önle: Örtüşen iki kuralı bul, kapsamlarını ayır ve test setinde her olayın tek kural tarafından yakalandığını göster.
- Topluluk kural deposundan ihtiyacına uyan kuralı seç: Zamanlanmış görev oluşturmayı arayan üç aday kuralı log kaynağı, durum ve düzey alanlarına göre karşılaştır ve ortamına uyanı gerekçesiyle seç.
- Yüz topluluk kuralını log kaynaklarına göre ele ve yayına hazırla: Bir betikle kuralları sende olmayan log kaynaklarına göre ele, kalanları örnek veride çalıştır ve gürültü üreten on kural için süzgeç öner.
Kurs hakkında
Bir saldırı davranışını tespit kuralına dönüştürmeyi öğrenir, Sigma ile üründen bağımsız kurallar yazar, bunları farklı SIEM sorgu dillerine çevirir ve gerçek loglarla sınarsın.
Ne öğreneceksin
- Tespit düşüncesi
- Sigma
- Dönüştürme ve test
- Bitirme
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.