Zeek ile ağ güvenliği izleme
Zeek’in ürettiği bağlantı, DNS, HTTP, TLS ve dosya kayıtlarını okur, zeek-cut ile analiz eder, kendi betiklerini yazar ve imzası olmayan şüpheli davranışları bulursun.
Seviye 301 · 15 ders · 15 pratik lab
Dersler
Kayıtlar
- Zeek’in imza tabanlı IDS’ten farkı
- conn.log: her bağlantının özeti
- dns.log ve http.log
- ssl.log, x509.log ve files.log
- zeek-cut ve kabuk araçlarıyla analiz
- Kısa görev: en çok veri gönderen beş iç makineyi bul
Davranış bulmak
- Uzun süren bağlantılar ve tüneller
- Düzenli aralıklı bağlantılar: işaretleşme
- Nadir TLS parmak izleri ve kendinden imzalı sertifikalar
- Kısa görev: 60 saniyede bir dışarı bağlanan makineyi bul
Betikler
- Zeek betik dili: olaylar ve kayıtlar
- Uyarı çatısı: kendi uyarını üretmek
- İstihbarat çatısı: gösterge listesiyle eşleme
- Kısa görev: bilinmeyen bir DNS sunucusuna giden sorgular için uyarı üret
Bitirme
- Bitirme görevi: bir haftalık Zeek kaydında gizli veri sızdırmayı bul
Pratik lablar
- conn.log’da en çok veri gönderen iç makineyi bul: zeek-cut ve sort ile kaynak başına gönderilen baytı topla ve ilk sırayı yaz.
- dns.log’da en çok sorgulanan nadir alan adını bul: Sorguları alan adına göre say ve yalnızca tek makinenin sorguladığı alan adını belirle.
- http.log’da çalıştırılabilir dosya indirmesini bul: MIME türü ve uzantısı uyuşmayan indirmeyi bul ve files.log’daki özetiyle eşleştir.
- Bağlantıyı uid ile tüm günlüklerde izle: Şüpheli bir bağlantının uid değerini conn, ssl ve x509 kayıtlarında izle ve sertifika bilgisini çıkar.
- Standart dışı porttaki SSH’yi protokol alanından yakala: service alanı ile port uyuşmayan bağlantıları bul ve 443’te çalışan SSH’yi raporla.
- Saatlerce açık kalan bağlantıyı bul: conn.log’u süreye göre sırala ve en uzun bağlantının uçlarını ve aktarılan veriyi yaz.
- Her beş dakikada bir dışarı arayan makineyi bul: Aynı hedefe giden bağlantıların aralıklarını hesapla ve düzenli olan kaynağı göster.
- Kendinden imzalı sertifikalı dış bağlantıları listele: ssl.log ve x509.log’u birleştir, kendinden imzalı sertifika sunan dış sunucuları ve istemcilerini çıkar.
- Nadir TLS parmak izini taşıyan istemciyi ayıkla: JA3 değerlerini say, yalnızca bir makinede görülen parmak izini ve bağlandığı adresleri bul.
- Bir olayı işleyip satır yazdıran Zeek betiği yaz: Yeni bağlantı olayında kaynak ve hedefi yazdıran betiği yaz ve kayıt dosyası üzerinde çalıştır.
- Bilinmeyen DNS sunucusuna sorgu için bildirim üret: İzinli çözümleyici listesinin dışına giden sorgular için notice üreten betiği yaz ve notice.log’da göster.
- Gösterge listesini intel çatısıyla eşleştir: Alan adı ve adres göstergelerini yükle, kaydı işle ve intel.log’da isabetleri kaynağıyla göster.
- Büyük yüklemeler için eşikli bildirim yaz: Tek bağlantıda 50 MB üzeri dışa aktarım için bildirim üret ve yedekleme sunucusunu hariç tut.
- Bir özet değerinden başlayıp dosyanın ağdaki tüm yolculuğunu çıkar: files.log içindeki özetten yola çıkıp http, conn ve dns kayıtlarına geçerek dosyayı kimin, nereden, hangi alan adı üzerinden indirdiğini ve sonra nereye bağlandığını yaz.
- notice.log kayıtlarını türüne göre say: Bir günlük notice.log dosyasında bildirim türlerini say ve en sık görülen ile yalnızca bir kez görülen türü yaz.
Kurs hakkında
Zeek’in ürettiği bağlantı, DNS, HTTP, TLS ve dosya kayıtlarını okur, zeek-cut ile analiz eder, kendi betiklerini yazar ve imzası olmayan şüpheli davranışları bulursun.
Ne öğreneceksin
- Kayıtlar
- Davranış bulmak
- Betikler
- Bitirme
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.