DFIR analisti bitirme projesi
Bir DFIR analisti olarak tek bir uyarıdan başlar; edinim, disk, bellek, günlük ve ağ incelemesi, sınırlama önerileri ve mahkemeye sunulabilir raporla vakayı baştan sona kendin yürütürsün.
Seviye 501 · 13 ders · 12 pratik lab
Dersler
Vakayı almak
- Uyarıyı almak ve ilk değerlendirme
- Kapsam ve edinim planı
- Delilleri toplamak ve kanıt zincirini başlatmak
- Kısa görev: edinim kaydını ve özet listesini teslim et
İnceleme
- Disk incelemesi: yürütme, kalıcılık ve dosya izleri
- Bellek incelemesi: süreçler, enjeksiyon, bağlantılar
- Günlük ve ağ incelemesi: yanal hareket ve veri çıkışı
- Süper zaman çizelgesi ile her şeyi birleştirmek
- Kısa görev: olayın yedi kritik anını kanıtlarıyla listele
Sonuç ve teslim
- Sınırlama ve temizleme önerileri
- Göstergeler ve tespit kuralları paketi
- Bulguların akran incelemesi ve tekrar üretilebilirliği
- Bitirme görevi: yönetici özeti, teknik rapor ve delil ekleriyle vaka dosyasını teslim et
Pratik lablar
- Uyarıyı al ve ilk değerlendirmeyi yap: İlk uyarıdan önem düzeyini, olası kapsamı ve ilk üç soruyu yaz.
- Kapsam ve edinim planı: Etkilenen sistemler için hangi delilin hangi sırayla toplanacağını planla.
- Edinim kaydını ve özet listesini teslim et: Lab sistemlerinden bellek, disk ve kayıtları topla, kanıt zincirini başlat ve özet listesini teslim et.
- Diskte yürütme izlerini çıkar: Hazır imajda olay penceresinde çalıştırılan programları listele.
- Bellekte süreç ve bağlantıları incele: Dökümde şüpheli süreci, enjekte bölgeyi ve dış bağlantıyı birbirine bağla.
- Kalıcılığı diskte ve bellekte doğrula: Kalıcılık girdisini kayıt defteri, dosya sistemi ve bellekteki karşılığıyla üç kaynaktan kanıtla.
- Günlüklerde yanal hareketi bul: Oturum olaylarından sıçranan sistemleri sırasıyla listele.
- Ağ kaydında veri çıkışını ölç: Akış ve PCAP verisinden çıkan verinin hedefini, zamanını ve boyutunu belirle.
- Olayın yedi kritik anını listele: Süper zaman çizelgesinden olayın yedi kritik anını her biri için iki kanıtla listele.
- Göstergeler ve tespit kuralları paketi: Vakadan çıkan göstergeleri ve iki tespit kuralını paylaşılabilir pakette topla.
- Akran incelemesi yap: Başka bir analistin hazır raporunda üç bulguyu yeniden üret ve tutmayanı bildir.
- Vaka dosyasını teslim et: Turnalı Perakende vakası için yönetici özeti, teknik rapor, sınırlama önerileri ve delil eklerini tek dosyada teslim et.
Kurs hakkında
Bir DFIR analisti olarak tek bir uyarıdan başlar; edinim, disk, bellek, günlük ve ağ incelemesi, sınırlama önerileri ve mahkemeye sunulabilir raporla vakayı baştan sona kendin yürütürsün.
Ne öğreneceksin
- Vakayı almak
- İnceleme
- Sonuç ve teslim
Ön koşullar
Aynı yolun 401 düzeyine kadar olan konularında deneyimli olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 501 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.