The Sleuth Kit ve Autopsy ile disk incelemesi
The Sleuth Kit komutlarıyla bir imajı katman katman inceler, aynı vakayı Autopsy’de açıp anahtar sözcük araması, özet kümeleri ve etiketlerle raporlanabilir bulgulara dönüştürürsün.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
Sleuth Kit katmanları
- Sleuth Kit’in katman modeli: birim, dosya sistemi, üst veri, veri
- mmls ve fsstat ile birimi ve dosya sistemini tanımak
- fls, istat ve icat ile dosyayı inode’dan bulup çıkarmak
- blkls ve blkcat ile ayrılmamış alanı taramak
- sorter ve hfind ile dosyaları türe ve özete göre ayırmak
- Kısa görev: yalnızca TSK komutlarıyla silinmiş bir arşivi çıkar
Autopsy vakası
- Autopsy’de vaka açmak ve veri kaynağı eklemek
- Alım modülleri: dosya türü, üst veri, son etkinlik
- Bilinen iyi ve bilinen kötü özet kümeleri (NSRL)
- Anahtar sözcük ve düzenli ifade araması
- Autopsy zaman çizelgesi görünümü
- Kısa görev: vakada kredi kartı ve e-posta adreslerini bul ve etiketle
Bulgu ve rapor
- Etiketler, yorumlar ve önemli bulgu seçmek
- Autopsy’den HTML ve Excel raporu üretmek
- Bulguyu ikinci araçla doğrulamak: tekrarlanabilirlik
- Bitirme görevi: bir veri sızıntısı vakasını Autopsy’de incele ve raporla
Pratik lablar
- Birimi ve dosya sistemini tanı: mmls ve fsstat ile imajın bölümlerini, dosya sistemi türünü ve küme boyutunu çıkar.
- Dosyayı inode'dan bul ve çıkar: fls, istat ve icat ile belirli bir dosyayı bul, üst verisini oku ve içeriğini çıkar.
- Yalnızca TSK ile silinmiş arşivi çıkar: Silinmiş arşivi yalnızca komut satırı araçlarıyla bul, çıkar ve özetini verilen değerle doğrula.
- Ayrılmamış alanı dışa aktar: blkls ile ayrılmamış alanı ayrı dosyaya çıkar ve boyutunu raporla.
- Ayrılmamış alanda anahtar sözcük ara: Ayrılmamış alanda bir proje adını ara ve bulunduğu bloğu blkcat ile göster.
- Dosyaları türe ve özete göre ayır: sorter ve hfind ile dosyaları sınıflandır, bilinen iyi kümesinde olmayan çalıştırılabilir dosyaları listele.
- Vaka aç ve veri kaynağı ekle: Autopsy'de vaka oluştur, imajı ekle ve vaka bilgilerini doldur.
- Alım modüllerini seç ve çalıştır: Dosya türü, üst veri ve son etkinlik modüllerini çalıştır ve sonuç ağacındaki bulguları say.
- Bilinen iyi ve bilinen kötü özet kümeleri: Özet kümelerini yükle, bilinen dosyaları ele ve bilinen kötü olarak işaretleneni bul.
- Anahtar sözcük araması yap: Vakada bir müşteri adını ara ve geçtiği dosyaları listele.
- Kart ve e-posta adreslerini bul ve etiketle: Düzenli ifade aramasıyla kart numarası ve e-posta adresi içeren dosyaları bul ve etiketle.
- Zaman çizelgesi görünümünde olayı daralt: Zaman çizelgesi görünümünde olay saatine yaklaş, dosya ve web etkinliğini birlikte yorumla.
- Bulguyu etiketle ve yorumla: Üç önemli dosyayı etiketle ve her birine neden önemli olduğunu yaz.
- Bulguyu ikinci araçla doğrula: Autopsy'de bulduğun silinmiş dosyayı TSK komutlarıyla yeniden bul ve sonuçları karşılaştır.
- Veri sızıntısı vakasını incele ve raporla: Göktaşı Yazılım'ın hazır imajında sızan belgeleri bul, etiketle ve HTML raporu üret.
Kurs hakkında
The Sleuth Kit komutlarıyla bir imajı katman katman inceler, aynı vakayı Autopsy’de açıp anahtar sözcük araması, özet kümeleri ve etiketlerle raporlanabilir bulgulara dönüştürürsün.
Ne öğreneceksin
- Sleuth Kit katmanları
- Autopsy vakası
- Bulgu ve rapor
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.