Suricata ile ağ tabanlı tespit
Suricata’yı ağ sensörü olarak çalıştırır, kural kümelerini yönetir, kendi imzalarını yazar, EVE JSON çıktısını inceler ve satır içi kipte saldırıyı engellersin.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
Sensör
- Sensör yerleşimi: yansıtma portu, tap, satır içi
- Suricata kurulumu ve yapılandırması: HOME_NET, arayüzler
- EVE JSON çıktısı: alert, flow, http, dns, tls
- Kayıtlı trafiği sensöre yeniden oynatmak
- Kısa görev: bir pcap dosyasındaki tüm uyarıları kaynağa göre özetle
Kural yazmak
- Kural anatomisi: eylem, başlık, seçenekler
- İçerik eşleme ve tampon anahtar sözcükleri
- Akış, durum ve eşik seçenekleri
- Protokole özgü anahtar sözcükler: http, dns, tls.sni
- Kısa görev: bir C2 işaretleşmesini yakalayan imza yaz
İşletim
- Kural kümesi yönetimi: suricata-update, kaynaklar, kapatma
- Performans: paket kaybı ve istatistikler
- Satır içi IPS kipi: drop ve reject
- Dosya çıkarma ve özet değer kaydı
- Kısa görev: bir saldırıyı IPS kipinde engelle, meşru trafiği bozma
Bitirme
- Bitirme görevi: şirket ağına sensör kur, imza yaz ve bir saldırıyı yakala
Pratik lablar
- pcap’teki alarmları kaynağa göre özetle: Kaydı Suricata’dan geçir ve EVE JSON’dan imza ve kaynak adrese göre alarm sayısını çıkar.
- Alarmı aynı akışın http ve dns kayıtlarıyla bağla: flow_id üzerinden alarmı protokol kayıtlarına bağla ve indirilen dosyanın adını bul.
- HOME_NET hatası yüzünden susan imzaları bul: Yanlış ağ tanımının hangi alarmları engellediğini göster, düzelt ve aynı kayıtta yeni alarmları say.
- Belirli bir User-Agent’ı yakalayan imza yaz: http.user_agent tamponunu kullanarak kural yaz ve kayıtta yalnızca ilgili istekleri yakaladığını göster.
- Şüpheli alan adına giden DNS sorgusunu imzala: dns.query ile alan adı kalıbını yakala, büyük küçük harf farkını kapsa ve test et.
- Bu imzanın kaçırdığı isteği bul ve düzelt: İçerik eşleşmesinin yanlış tampona baktığını bul, yapışkan tamponu düzelt ve kaçan isteği yakala.
- Düzenli aralıklı C2 çağrısını eşikle imzala: Aynı kaynaktan belirli aralıkla gelen küçük istekleri threshold ile tek alarma indiren kuralı yaz.
- TLS SNI ile şifreli trafiği içeriğe bakmadan yakala: tls.sni ve sertifika alanlarını kullanan kuralı yaz ve sahte sertifikalı bağlantıyı yakala.
- Gürültülü imzayı kural setinde devre dışı bırak: suricata-update için disable.conf’a imzayı ekle, kuralları yenile ve imzanın yüklenmediğini göster.
- Paket düşüren sensörü istatistiklerden teşhis et: stats.log’da düşen paket oranını bul, nedenini belirle ve ayarı değiştirip yeniden ölç.
- Geçen dosyaları çıkar ve özetlerini kaydet: Dosya çıkarmayı aç, kayıttaki indirmenin özetini files kaydından al ve tehdit listesiyle karşılaştır.
- IPS modunda saldırıyı düşür, meşru trafiği koru: Tek bir imzayı drop yap, saldırı isteğinin kesildiğini ve normal isteklerin geçtiğini iki yönlü test et.
- EVE’den en çok veri gönderen akışı bul: flow kayıtlarını bayt sayısına göre sırala ve en büyük akışın uçlarını ve süresini yaz.
- Gürültülü imzayı tek bir kaynak için sustur: Açık tarayıcısından sürekli tetiklenen imza için threshold.config içine yalnızca o kaynağı kapsayan bir bastırma satırı ekle ve diğer kaynakların hâlâ uyarı ürettiğini göster.
- Akış, dosya ve uyarı kayıtlarını birleştirip sızan dosyayı bul: EVE kayıtlarını flow_id ile bağlayarak uyarıya konu olan oturumda dışarı gönderilen dosyanın adını, özetini ve boyutunu çıkar.
Kurs hakkında
Suricata’yı ağ sensörü olarak çalıştırır, kural kümelerini yönetir, kendi imzalarını yazar, EVE JSON çıktısını inceler ve satır içi kipte saldırıyı engellersin.
Ne öğreneceksin
- Sensör
- Kural yazmak
- İşletim
- Bitirme
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.