Windows ileri koruma: AppLocker, WDAC, Credential Guard, ASR
Uygulama denetimiyle yalnızca onaylı programların çalışmasını sağlar, kimlik bilgilerini bellekten çalınmaya karşı korur ve saldırı yüzeyi azaltma kurallarını devreye alırsın.
Seviye 401 · 16 ders · 18 pratik lab
Dersler
Uygulama denetimi
- Neden uygulama denetimi: izin listesi ve engel listesi
- AppLocker kuralları: yayımcı, yol, özet değer
- Denetim kipinde başlamak ve olayları okumak
- WDAC ilkeleri: oluşturmak, birleştirmek, imzalamak
- Meşru araçlarla atlatma girişimleri ve engel kuralları
- Kısa görev: kullanıcı profilinden program çalıştırmayı engelle
Kimlik bilgisi koruması
- LSASS koruması: RunAsPPL
- Credential Guard ve sanallaştırma tabanlı güvenlik
- WDigest, önbellekteki kimlik bilgileri ve Korumalı Kullanıcılar
- Kısa görev: LSASS korumasının açık olduğunu olay günlüğüyle doğrula
Saldırı yüzeyi
- Saldırı yüzeyi azaltma (ASR) kuralları
- Office makroları ve internetten gelen dosyalar
- Denetimli klasör erişimiyle fidye yazılımına karşı koruma
- BitLocker ile disk şifreleme ve kurtarma anahtarları
- Kısa görev: ASR kurallarını denetim kipinde aç ve en gürültülüsünü ayarla
Bitirme
- Bitirme görevi: yönetici iş istasyonunu (PAW) uçtan uca koru
Pratik lablar
- Kullanıcı klasörlerinden program çalıştırmayı denetim modunda izle: AppLocker’ı denetim modunda aç, bir program çalıştır ve 8003 kaydında neyin engelleneceğini göster.
- Yayıncı kuralıyla yalnızca imzalı aracı izinli yap: Bir uygulama için yayıncı kuralı yaz, imzasız kopyanın engellendiğini ve imzalının çalıştığını göster.
- Engeli aşmak için kullanılan yasal aracı kapat: mshta ile kuralların atlatıldığını göster, engelleme kuralı ekle ve yeniden denemenin durduğunu kanıtla.
- WDAC politikasını denetim kayıtlarından üret: Denetim modundaki olaylardan izin listesi oluştur, ana politikayla birleştir ve zorlamada iş uygulamasının çalıştığını göster.
- LSASS korumasının açık olduğunu doğrula: RunAsPPL ayarını kontrol et, gerekiyorsa aç ve açılış olayında korumanın etkin olduğunu göster.
- WDigest ile açık parola saklanmasını kapat: WDigest kayıt değerini kontrol et, kapat ve önbelleğe alınmış oturum sayısını da politikaya indir.
- Credential Guard’ın neden çalışmadığını bul: msinfo32 ve kayıtlarla VBS gereksinimlerini kontrol et, eksik ayarı tamamla ve Credential Guard’ın çalıştığını kanıtla.
- Office’in alt süreç başlatmasını engelleyen ASR kuralını aç: Kuralı denetim modunda aç, test belgesiyle tetikle ve olay kaydını göster.
- En gürültülü ASR kuralını ayarla: Denetim kayıtlarından en çok tetiklenen kuralı bul, meşru uygulama için dar bir dışlama ekle ve engellemeye geç.
- İnternetten gelen belgelerde makroları engelle: Politika ile internetten gelen makroları kapat ve Web işareti taşıyan bir belgede makronun çalışmadığını göster.
- Denetimli klasör erişimiyle fidye simülasyonunu durdur: Belgeler klasörünü koru, simülasyonu çalıştır ve dosyaların değişmediğini, engelleme olayının oluştuğunu göster.
- BitLocker kurtarma anahtarını güvenli yere yedekle: Sürücüyü şifrele, kurtarma anahtarını dizine yedekle ve anahtarın oradan okunabildiğini göster.
- Yalnızca TPM ile korunan diske PIN ekle: Koruyucuları listele, TPM ve PIN koruyucusuna geç ve açılışta PIN’in sorulduğunu doğrula.
- Hangi disklerin şifresiz olduğunu bul: manage-bde ve PowerShell ile tüm birimlerin şifreleme durumunu listele ve şifresiz olanları raporla.
- Office makro ayarının bu makinede ne olduğunu oku: Kayıt defterinden ve ilke sonuçlarından Word ve Excel için geçerli makro ayarını bul ve ilkeyle mi yerelde mi verildiğini not et.
- Makroya muhtaç muhasebe ekibi için imzalı makro düzeni kur: Yalnızca kurumun sertifikasıyla imzalanmış makrolara izin veren ilkeyi uygula, bir makroyu imzala ve imzasız kopyanın engellendiğini göster.
- WDAC denetim olaylarını oku: Kod bütünlüğü günlüğünde denetim kipinin kaydettiği engellenecek dosyaları ve yayıncılarını listele.
- Hazır bir WDAC ilkesini denetim kipinde devreye al: Örnek ilkeyi denetim kipinde uygula, bir kurum içi aracı çalıştır ve oluşan olayı ilke kuralıyla ilişkilendir.
Kurs hakkında
Uygulama denetimiyle yalnızca onaylı programların çalışmasını sağlar, kimlik bilgilerini bellekten çalınmaya karşı korur ve saldırı yüzeyi azaltma kurallarını devreye alırsın.
Ne öğreneceksin
- Uygulama denetimi
- Kimlik bilgisi koruması
- Saldırı yüzeyi
- Bitirme
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan bir Kali Linux terminalinde ve her lab için ayrı kurulan bir uygulama etki alanında (CORP.LAB) geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.