Zaman çizelgesi analizi: mactime’dan süper zaman çizelgesine
Dosya sistemi zamanlarını mactime ile, yüzlerce iz kaynağını plaso ile tek bir çizelgede birleştirir, milyonlarca satırı süzerek olayın dakikalarını ortaya çıkarırsın.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
Zamanın temelleri
- MACB zamanları: değişim, erişim, meta ve oluşturma
- Saat kayması, saat dilimi ve yaz saati tuzakları
- Dosya sistemi, olay ve süper zaman çizelgesi farkı
- Kısa görev: bir sistemin saat farkını delillerden hesapla
Dosya sistemi zaman çizelgesi
- fls ile body dosyası üretmek
- mactime ile okunabilir zaman çizelgesi
- Bilinen bir olaydan başlamak: çapa noktası
- Kısa görev: çapa noktasının 10 dakika öncesinde ne değişti
plaso ile süper zaman çizelgesi
- log2timeline ile imajdan olay toplamak
- plaso ayrıştırıcıları ve hedefli toplama
- psort ile süzmek ve CSV’ye dökmek
- Tablo görünümünde zaman çizelgesini gezmek ve renklendirmek
- Kısa görev: süper zaman çizelgesinde kalıcılığın kurulduğu anı bul
Sonuçlandırmak
- Zamana göre pivot: bir izden diğerine atlamak
- Zaman çizelgesini olay anlatısına dönüştürmek
- Bitirme görevi: bir fidye yazılımı öncesi iki günü dakika dakika kur
Pratik lablar
- MACB zamanlarını oku: Beş dosyanın değişim, erişim, meta ve oluşturma zamanlarını yorumla.
- Sistemin saat farkını hesapla: Bilinen bir dış olayla karşılaştırarak sistemin saat kaymasını ve saat dilimini belirle.
- Yaz saati tuzağını çöz: Yaz saati geçişine denk gelen kayıtlarda bir saatlik belirsizliği bul ve doğru sıralamayı kur.
- fls ile body dosyası üret: Bir imajdan fls ile body dosyası üret ve satır sayısını raporla.
- mactime ile okunabilir çizelge: Body dosyasını mactime ile zaman çizelgesine çevir ve olay gününü süz.
- Çapa noktasının on dakika öncesi: Bilinen bir dosya oluşturma anından geriye giderek önceki on dakikada değişen her şeyi açıkla.
- log2timeline ile olay topla: Küçük bir imajdan plaso depolama dosyası üret ve toplanan olay sayısını göster.
- Hedefli ayrıştırıcı seç: Yalnızca kabuk geçmişi, sistem günlüğü ve tarayıcı ayrıştırıcılarıyla toplama yap ve süre farkını ölç.
- Kalıcılığın kurulduğu anı bul: Süper zaman çizelgesinde kalıcılık girdisinin oluştuğu anı ve hemen önceki eylemi bul.
- psort ile CSV'ye dök: Depolama dosyasını psort ile CSV'ye çevir ve sütunları açıkla.
- Zaman aralığı ve kaynağa göre süz: psort süzgeciyle yalnızca olay saatinin çevresindeki dosya ve kayıt olaylarını çıkar.
- Tablo görünümünde renklendirip gez: Çizelgeyi tablo aracında aç, yürütme, kalıcılık ve ağ olaylarını renklendir ve üç dönüm noktasını işaretle.
- Bir izden diğerine atla: İndirilen dosyanın zamanından başlayıp aynı dakikadaki tarayıcı ve süreç olaylarına geç.
- Çizelgeyi olay anlatısına dönüştür: Yirmi satırlık seçilmiş çizelgeyi beş paragraflık anlatıya çevir.
- Şifreleme öncesi iki günü kur: Kuzeyyıldızı Kargo'nun hazır imajında dosyaların şifrelenmesinden önceki iki günü ilk erişimden itibaren dakika dakika kur.
Kurs hakkında
Dosya sistemi zamanlarını mactime ile, yüzlerce iz kaynağını plaso ile tek bir çizelgede birleştirir, milyonlarca satırı süzerek olayın dakikalarını ortaya çıkarırsın.
Ne öğreneceksin
- Zamanın temelleri
- Dosya sistemi zaman çizelgesi
- plaso ile süper zaman çizelgesi
- Sonuçlandırmak
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.