Kayıt analizi: syslog’dan web kayıtlarına
Sistem, kimlik doğrulama ve web sunucusu kayıtlarını grep, awk ve jq ile süzer, farklı kaynakları tek bir saat düzeninde birleştirir ve basit SIEM sorgularıyla saldırı izini sürersin.
Seviye 201 · 18 ders · 15 pratik lab
Dersler
Kayıtların dünyası
- Kayıt neden en iyi tanıktır ve ne zaman yalan söyler
- syslog, rsyslog ve journald: kayıtlar nerede tutulur
- Kayıt biçimleri: düz metin, JSON, CEF ve EVTX
- Saklama süresi, döndürme ve kayıtların bütünlüğü
- Kısa görev: bir sunucudaki tüm kayıt kaynaklarını envanterle
Komut satırında süzmek
- grep ve awk ile alan seçip saymak
- zgrep ve zcat ile sıkıştırılmış eski kayıtlar
- jq ile JSON kayıtlarını süzmek ve özetlemek
- Saat dilimlerini UTC’ye çevirip kayıtları birleştirmek
- Kısa görev: üç kaynağı tek bir zaman çizelgesinde birleştir
Saldırı izleri
- Web erişim kayıtları: tarama, enjeksiyon ve web kabuğu izleri
- Kaba kuvvet ve parola püskürtme desenleri
- Windows olay günlüklerine ilk bakış: 4624, 4625, 4688
- Kayıttaki boşluklar: silinmiş ya da durdurulmuş kayıtları fark etmek
- Kısa görev: web kabuğunun ilk çağrıldığı isteği bul
SIEM sorguları
- SIEM nedir: toplama, ayrıştırma, ilişkilendirme
- Bir SIEM’de arama: süzgeç, istatistik ve zaman grafiği
- Bitirme görevi: karışık kayıtlardan bir hesabın ele geçirilmesini baştan sona anlat
Pratik lablar
- Sunucudaki kayıt kaynaklarını envanterle: Bir lab sunucusundaki tüm kayıt dosyalarını ve journald birimlerini biçimleriyle listele.
- Döndürme ve saklama süresini denetle: logrotate ayarlarından her kaydın kaç gün geriye gittiğini çıkar ve en kısa saklananı işaretle.
- Kayıt ne zaman yalan söyler: Aynı olayı anlatan iki kayıttaki çelişkiyi bul ve hangisine neden güvenileceğini gerekçelendir.
- grep ve awk ile alan seçip say: Web erişim kaydından durum kodlarına göre istek sayısını çıkar.
- Sıkıştırılmış eski kayıtlarda ara: zgrep ile bir aylık döndürülmüş kayıtta tek bir adresin tüm isteklerini topla.
- jq ile JSON kayıtlarını özetle: JSON uygulama kaydından kullanıcı başına başarısız işlem sayısını ve ilk hata zamanını çıkar.
- Zaman damgalarını UTC'ye çevir: Üç farklı saat dilimindeki on kayıt satırını UTC'ye çevir.
- Üç kaynağı tek zaman çizelgesinde birleştir: auth.log, web erişim kaydı ve uygulama kaydını ortak biçime getirip zamana göre sırala.
- Saati kaymış sunucuyu düzelt: Ortak bir olaydan sunucunun saat kaymasını hesapla ve kayıtlarını düzeltilmiş zamanla birleştir.
- Kaba kuvvet desenini tanı: Kimlik doğrulama kaydında tek hesaba ve çok hesaba yönelen deneme desenlerini ayır.
- Web kabuğunun ilk çağrıldığı isteği bul: Hazır erişim kaydında tarama, yükleme ve ilk çağrı isteklerini sırasıyla göster.
- Kayıttaki boşluğu fark et: Kayıtta eksik kalan zaman aralığını bul ve durdurulmuş mu silinmiş mi olduğunu başka kaynakla destekle.
- 4624 ve 4625 olaylarını say: Dışa aktarılmış Windows olaylarında başarılı ve başarısız oturumları hesaba göre say.
- SIEM'de arama ve zaman grafiği: Lab SIEM'inde bir hesabın oturum olaylarını süz, saatlik grafiğini çıkar ve sıçramayı işaretle.
- Hesabın ele geçirilmesini baştan sona anlat: Yelkovan Bankası'nın karışık hazır kayıtlarından bir hesabın denenmesini, girişini ve sonraki eylemlerini zaman sırasıyla raporla.
Kurs hakkında
Sistem, kimlik doğrulama ve web sunucusu kayıtlarını grep, awk ve jq ile süzer, farklı kaynakları tek bir saat düzeninde birleştirir ve basit SIEM sorgularıyla saldırı izini sürersin.
Ne öğreneceksin
- Kayıtların dünyası
- Komut satırında süzmek
- Saldırı izleri
- SIEM sorguları
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.