Windows saldırılarını tespit etmek
Gerçek saldırı tekniklerinin Windows ve Sysmon günlüklerinde bıraktığı izleri inceler; kimlik bilgisi hırsızlığı, yanal hareket ve kalıcılık için sınanmış tespit kuralları yazarsın.
Seviye 401 · 15 ders · 15 pratik lab
Dersler
İlk erişim ve çalıştırma
- Office’in başlattığı şüpheli süreçler
- PowerShell kötüye kullanımı: kodlanmış komut, indirme, AMSI
- Meşru araçlarla çalıştırma: rundll32, mshta, certutil
- Kısa görev: makrolu belgeden başlayan zinciri yakalayan kural yaz
Kimlik bilgisi ve yanal hareket
- LSASS bellek dökümünü tespit etmek
- Özet değerle kimlik doğrulama (pass-the-hash) izleri
- Uzaktan çalıştırma: hizmet oluşturma, WMI, WinRM
- RDP ile yanal hareket
- Kısa görev: bir makineden üç makineye yayılan oturumları birbirine bağla
Kalıcılık ve savunmayı atlatma
- Hizmet ve zamanlanmış görevle kalıcılık
- WMI olay aboneliğiyle kalıcılık
- Günlük silme ve denetimi kapatma
- Defender ayarlarını kurcalama
- Kısa görev: üç kalıcılık tekniğini tek kural paketinde yakala
Bitirme
- Bitirme görevi: kayıtlı bir saldırı gününü kurallarınla baştan sona yakala
Pratik lablar
- Office’in başlattığı kabuğu SIEM’de bul: Ebeveyni Office olan cmd ve PowerShell süreçlerini sorgula ve ilgili belge adını çıkar.
- Kodlanmış PowerShell komutunu çöz ve kural yaz: Kayıttaki komutu çöz, indirme kalıbını belirle ve bunu yakalayan tespiti test et.
- rundll32 ve mshta kötüye kullanımını meşrudan ayır: Bir haftalık kullanımı komut satırına göre grupla ve uzak adres ya da betik içeren çağrıları yakala.
- Bu kuralın kaçırdığı certutil varyantını bul: Parametresi kısaltılmış ve adı değiştirilmiş çağrıyı bul ve kuralı özgün dosya adına göre düzelt.
- Uzaktan servis oluşturmayı 7045 kaydından bul: Yeni servis olaylarını süz, sıra dışı ikili yolu olanı ve oluşturan hesabı yaz.
- Pass-the-hash izini oturum olaylarından çıkar: Oturum türü 9 ve NTLM kullanan 4624 kayıtlarını bul ve kaynağıyla hedefini eşleştir.
- Bir makineden üç makineye yayılan oturumları bağla: Oturum, servis ve süreç olaylarını zaman sırasıyla birleştir ve yanal hareket grafiğini çıkar.
- LSASS dökümünü yönetici aracından ayırt et: LSASS erişim olaylarını erişim haklarına ve çağıran sürece göre süz ve döküm alan aracı bul.
- Yeni zamanlanmış görevi 4698 kaydından yakala: Görev oluşturma olaylarını süz ve kullanıcı klasöründen çalışan görevin komutunu çıkar.
- WMI olay aboneliğiyle kalıcılığı tespit et: Sysmon 19, 20 ve 21 kayıtlarını birleştir ve aboneliğin çalıştırdığı komutu bul.
- Defender ayarlarının kurcalandığını yakala: Gerçek zamanlı korumayı kapatan ve dışlama ekleyen komutları kayıt defteri ve süreç olaylarından bul.
- Günlük temizleme ve denetim kapatmayı tek kuralla yakala: 1102, 104 ve auditpol kullanımını kapsayan kuralı yaz ve yönetici bakım işini dışla.
- Üç kalıcılık tekniğini tek kural paketinde yakala: Run anahtarı, servis ve başlangıç klasörü için kurallar yaz ve kayıtlı saldırı verisinde üçünü de tetikle.
- Yönetim aracının olağan kullanımını kayıtlardan tanı: Bir haftalık süreç kayıtlarında certutil komut satırlarını topla ve olağan sertifika işlerini dosya indirme kullanımından ayır.
- Olay günlüğünün temizlendiğini yakalayan kuralı yaz: 1102 ve 104 numaralı olayları arayan bir kural yaz ve örnek veride hangi hesabın günlüğü temizlediğini göster.
Kurs hakkında
Gerçek saldırı tekniklerinin Windows ve Sysmon günlüklerinde bıraktığı izleri inceler; kimlik bilgisi hırsızlığı, yanal hareket ve kalıcılık için sınanmış tespit kuralları yazarsın.
Ne öğreneceksin
- İlk erişim ve çalıştırma
- Kimlik bilgisi ve yanal hareket
- Kalıcılık ve savunmayı atlatma
- Bitirme
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.