Uç noktalarda tehdit avı: Sysmon ve auditd
Bir hipotezden yola çıkarak Windows’ta Sysmon, Linux’ta auditd verisinde henüz uyarı vermemiş saldırgan izlerini arar, bulguları kalıcı tespit kurallarına dönüştürürsün.
Seviye 401 · 15 ders · 12 pratik lab
Dersler
Av yöntemi
- Av döngüsü: hipotez, veri, analiz, sonuç
- ATT&CK tekniklerinden hipotez üretmek
- Elimde hangi veri var: telemetri kapsam haritası
- Kısa görev: üç hipotez yaz ve gereken veriyi eşleştir
Windows avları
- Sysmon yapılandırması: neyi, ne kadar kaydetmeli
- Sistem araçlarının kötüye kullanımı: rundll32, regsvr32, certutil
- Tuhaf ebeveyn-çocuk süreç ilişkileri
- Kısa görev: Office’ten başlayan kabuk süreçlerini avla
Linux avları
- auditd kuralları: execve, dosya ve yetki olayları
- Linux’ta kalıcılık avı: cron, systemd, SSH anahtarları
- Nadir çalışan ikili dosyalar ve tuhaf dizinler
- Kısa görev: auditd verisinde web kullanıcısının açtığı kabuğu bul
Sonuçtan kurala
- Avdan tespit kuralına: Sigma ile kalıcı hale getirmek
- Av raporu: boş çıkan avın da değeri
- Bitirme görevi: iki hafta önce başlamış sessiz bir sızmayı avla
Pratik lablar
- ATT&CK tekniğinden hipotez üret: Verilen teknikten sınanabilir bir av hipotezi yaz.
- Üç hipotez ve gereken veri: Üç hipotez yaz ve her birini eldeki telemetri kaynağıyla eşleştir.
- Telemetri kapsam haritası çıkar: Uç noktalarda toplanan veriyi tekniklere göre haritala ve görülemeyen beş tekniği raporla.
- Tuhaf üst-alt süreç ilişkilerini listele: Hazır Sysmon verisinde üst-alt süreç çiftlerini say ve en nadir onunu çıkar.
- Office'ten başlayan kabuk süreçlerini avla: Belge uygulamasından doğan komut satırı süreçlerini bul ve komutlarını listele.
- Sistem araçlarının kötüye kullanımını avla: rundll32, regsvr32 ve certutil kullanımlarını olağan kullanımdan ayır ve şüpheli üçünü gerekçelendir.
- auditd kuralı yaz: execve çağrılarını ve kritik bir dosyadaki değişikliği kaydeden iki kural ekle ve kaydı doğrula.
- Web kullanıcısının açtığı kabuğu bul: auditd verisinde web sunucusu kullanıcısıyla çalışan kabuk süreçlerini bul.
- Linux'ta kalıcılık avı: Beş lab sunucusunda cron, systemd ve SSH anahtarlarını tara, tuhaf dizinden çalışan nadir ikili dosyayı bul.
- Av raporu yaz: Boş çıkan bir avı hipotez, veri, yöntem ve sonuç başlıklarıyla raporla.
- Avı Sigma kuralına dönüştür: Bulduğun süreç ilişkisini Sigma kuralı olarak yaz ve hazır kayıtla sına.
- İki hafta önce başlamış sessiz sızmayı avla: Ayçiçeği Gıda'nın hazır uç nokta verisinde sessiz sızmayı üç farklı hipotezle bul ve bulguları kanıtla.
Kurs hakkında
Bir hipotezden yola çıkarak Windows’ta Sysmon, Linux’ta auditd verisinde henüz uyarı vermemiş saldırgan izlerini arar, bulguları kalıcı tespit kurallarına dönüştürürsün.
Ne öğreneceksin
- Av yöntemi
- Windows avları
- Linux avları
- Sonuçtan kurala
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.