Delil edinimi: disk, canlı sistem ve uzaktan toplama
Disk imajını ham ve E01 biçiminde alır, canlı sistemden uçucu veriyi doğru sırayla toplar, uzaktaki bir sunucudan ağ üzerinden güvenle delil çekersin.
Seviye 201 · 15 ders · 12 pratik lab
Dersler
Edinim planı
- Kapat mı, açık bırak mı: canlı ve ölü edinim kararı
- Uçuculuk sırası: RFC 3227 ile ne önce toplanır
- Edinim formu: aygıt, seri numarası, saat farkı, fotoğraf
- Kısa görev: bir sunucu olayı için edinim planı yaz
İmaj biçimleri
- Ham imaj, E01 ve AFF4: farklar ve seçim
- ewfacquire ile E01 imajı almak ve üst veriyi doldurmak
- ewfverify ve ewfinfo ile imajı doğrulamak
- ewfmount ve losetup ile imajı salt okunur bağlamak
- Kısa görev: aynı diski ham ve E01 olarak al, boyut ve özetleri karşılaştır
Canlı ve uzaktan edinim
- Canlı müdahale betiği: süreçler, bağlantılar, oturumlar, açık dosyalar
- Önce bellek: canlı sistemde avml ile bellek almak
- Güvenilir araçlarla çalışmak: kurbanın ikili dosyalarına güvenmemek
- ssh ve dd ile ağ üzerinden imaj almak
- Tam imaj yerine hedefli toplama: önemli dosyaları paketlemek
- Bitirme görevi: ele geçirilmiş bir sunucudan canlı veriyi ve diski kurallara uygun topla
Pratik lablar
- Uçuculuk sırasını diz: Sekiz delil kaynağını RFC 3227'ye göre önce toplanacak olandan sona doğru sırala.
- Kapat mı, açık bırak mı: Üç senaryoda canlı mı ölü mü edinim yapılacağına karar ver ve gerekçesini yaz.
- Sunucu olayı için edinim planı: Ayçiçeği Gıda'nın ele geçirilmiş web sunucusu için sıra, araç, saklama ve form içeren edinim planı yaz.
- ewfinfo ile imaj bilgisini oku: Bir E01 imajının vaka numarasını, alan kişiyi ve özetini ewfinfo ile çıkar.
- E01 imajı al ve doğrula: ewfacquire ile üst veriyi doldurarak imaj al ve ewfverify ile doğrula.
- Ham ve E01'i karşılaştır: Aynı diski ham ve E01 olarak al, boyutları ve içerik özetlerini karşılaştır, E01'i salt okunur bağla.
- Canlı sistemden süreç ve bağlantıları topla: Güvenilir araçlarla süreç, bağlantı ve oturum listesini zaman damgalı dosyalara yaz.
- Önce bellek: avml ile döküm al: Canlı lab sunucusunda avml ile bellek dökümü al, özetle ve edinim formuna işle.
- Canlı müdahale betiği yaz: Uçuculuk sırasına uyan, her çıktıyı özetleyen ve sisteme en az dokunan toplama betiği yaz.
- Hedefli toplama paketi hazırla: Kayıtları, kabuk geçmişini ve yapılandırma dosyalarını zaman damgaları korunarak tek arşive paketle.
- Ağ üzerinden imaj al: ssh ve dd ile uzak lab sunucusunun diskini al ve iki uçta özetleri karşılaştır.
- Ele geçirilmiş sunucudan kurallara uygun toplama: Lab sunucusundan önce belleği, sonra canlı veriyi, sonra diski topla ve tüm adımları kanıt zinciriyle belgele.
Kurs hakkında
Disk imajını ham ve E01 biçiminde alır, canlı sistemden uçucu veriyi doğru sırayla toplar, uzaktaki bir sunucudan ağ üzerinden güvenle delil çekersin.
Ne öğreneceksin
- Edinim planı
- İmaj biçimleri
- Canlı ve uzaktan edinim
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.