Delil karartmayı tespit etmek
Zaman damgası oynanmış dosyaları, silinmiş ya da kurcalanmış günlükleri, güvenli silme ve gizlenmiş verinin izlerini yakalar, “iz yok” görünen bir sistemde bile ne olduğunu kanıtlarsın.
Seviye 501 · 12 ders · 12 pratik lab
Dersler
Zaman ve günlük oyunları
- Zaman damgası oynama: $SI ve $FN farkı
- $UsnJrnl’de değişikliğin kendisini yakalamak
- Kurcalanmış günlükler: sıra numarası, boşluk ve ikinci kaynak
- Kısa görev: oynanmış zamanlı üç dosyayı bul ve gerçek zamanı tahmin et
Silme ve gizleme
- Güvenli silme araçlarının bıraktığı izler
- Şifreli kaplar ve gizli birimler: varlığını tespit etmek
- Veri saklama yerleri: HPA, DCO, slack ve ayrılmamış alan
- Saldırganın kendi temizliği: geçmiş silme, araç kaldırma
- Kısa görev: silinmiş bir aracın varlığını dört farklı izle kanıtla
Rapor ve savunma
- Delil yokluğu, yokluğun delili değildir: raporda dil
- Karartmaya dayanıklı kayıt: uzak günlük ve değişmez depolama
- Bitirme görevi: “temizlenmiş” bir sunucuda saldırganın yaptıklarını yeniden kur
Pratik lablar
- $SI ve $FN zamanlarını karşılaştır: Beş dosyanın iki öznitelikteki zamanlarını yan yana yaz ve uyuşmayanı işaretle.
- Oynanmış zamanlı üç dosyayı bul: Hazır imajda zamanı oynanmış üç dosyayı bul ve gerçek zamanı tahmin et.
- Değişikliğin kendisini $UsnJrnl'de yakala: Zaman damgası değişikliğinin günlükteki kaydını bul ve değişikliği yapan anı kanıtla.
- Sıra numarasındaki boşluğu bul: Olay günlüğünde kayıt numaralarını tara ve eksik aralığı raporla.
- Kurcalanmış günlüğü ikinci kaynakla doğrula: Yerel günlükte eksik olan olayları uzak günlük kopyasında bul.
- Karartmaya dayanıklı kayıt tasarla: Lab sunucusunda uzak günlüğe iletimi ve değişmez saklamayı kur, yerel silmenin kanıtı yok etmediğini göster.
- Güvenli silme aracının izini tanı: Dosya adı ve içerik örüntüsünden güvenli silme aracının çalıştığını gösteren izleri bul.
- Şifreli kabın varlığını tespit et: Yüksek entropili, başlıksız büyük dosyayı ve onu bağlayan yazılımın izlerini bul.
- Silinmiş aracın varlığını dört izle kanıtla: Kaldırılmış bir aracın varlığını yürütme kaydı, günlük, kısayol ve ayrılmamış alan izleriyle kanıtla.
- Geçmişi silinmiş kabukta kalan izler: Silinmiş komut geçmişinin yerine kalan izleri bellek, günlük ve dosya zamanlarından topla.
- Raporda yokluğu doğru anlat: Üç bulguyu delil yokluğu ile yokluğun delilini karıştırmayan dille yeniden yaz.
- Temizlenmiş sunucuda olanları yeniden kur: Karaçam Mobilya'nın hazır imajında izleri silinmiş sunucuda yapılanları kalan kaynaklardan zaman sırasıyla kur.
Kurs hakkında
Zaman damgası oynanmış dosyaları, silinmiş ya da kurcalanmış günlükleri, güvenli silme ve gizlenmiş verinin izlerini yakalar, “iz yok” görünen bir sistemde bile ne olduğunu kanıtlarsın.
Ne öğreneceksin
- Zaman ve günlük oyunları
- Silme ve gizleme
- Rapor ve savunma
Ön koşullar
Aynı yolun 401 düzeyine kadar olan konularında deneyimli olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 501 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.