Uzun soluklu av: bir saldırı kampanyasını uçtan uca izlemek
Haftalara yayılmış bir sızmayı birden çok veri kaynağında izler, saldırganın ilk erişimden sızdırmaya kadar tüm adımlarını kanıtla bağlar ve yönetime sunarsın.
Seviye 501 · 12 ders · 15 pratik lab
Dersler
Başlangıç
- Kapsam: hangi zaman aralığı, hangi varlıklar
- Av ekibinde roller ve iş bölümü
- Kanıt takibi ve bulgu defteri
- Kısa görev: tek bir şüpheli girişten başlayarak kapsamı belirle
İz sürmek
- İlk erişimi bulmak
- Yanal hareket grafiği çıkarmak
- Veri toplama ve sızdırma izleri
- Saldırganın içeride kaldığı süreyi hesaplamak
- Kısa görev: saldırganın dokunduğu tüm makineleri grafiğe dök
Sonuç
- Kampanya zaman çizelgesi
- Yönetime sunum: etki, kök neden, öneriler
- Bitirme görevi: 30 günlük veride kampanyanın tamamını ortaya çıkar
Pratik lablar
- Tek şüpheli girişten avın kapsamını belirle: Girişin kullanıcısı, makinesi ve zamanından yola çıkarak incelenecek varlıkları ve zaman aralığını yaz.
- Bulguları kanıt kaydına tutarlı biçimde işle: Beş bulguyu zaman, kaynak, sorgu ve güven alanlarıyla kayda geçir ve çelişen ikisini işaretle.
- Kapsamı daraltan ve genişleten kanıtı ayır: Yeni ipuçlarını değerlendir, hangi makinelerin kapsama girdiğini ve hangilerinin çıktığını gerekçelendir.
- İlk erişim yolunu 30 günlük veride bul: Ele geçirilen ilk hesabın ilk sıra dışı girişini bul ve hangi yolla elde edildiğini kanıtla.
- Saldırganın dokunduğu her makineyi grafiğe dök: Oturum ve uzaktan çalıştırma kayıtlarından kaynak-hedef kenarlarını çıkar ve grafiği zaman sırasıyla çiz.
- Veri toplama ve sızdırma anını saptayıp boyutunu ölç: Arşiv oluşturma ve büyük dış aktarım olaylarını eşleştir ve çıkan veri miktarını hesapla.
- Saldırganın içeride kalma süresini hesapla: İlk kanıtlanmış etkinlik ile tespit anı arasındaki süreyi hesapla ve belirsizlik payını belirt.
- Kampanya zaman çizelgesini tek sayfada kur: Kanıt kaydındaki olayları aşamalara ayır ve boşlukları açıkça işaretleyerek çizelgeyi çıkar.
- Yönetime etki, kök neden ve öneri özetini yaz: Teknik bulguları üç paragraflık yönetici özetine çevir ve her öneriyi bir bulguya bağla.
- Kanıtı zayıf iddiaları rapordan ayıkla: Taslak rapordaki her iddiayı kanıt kaydıyla eşleştir ve desteksiz olanları varsayım olarak yeniden yaz.
- Av için elindeki veri kaynaklarını ve saklama sürelerini çıkar: SIEM’deki kaynakları tarayıp her biri için en eski kaydın tarihini bul ve 30 günü kapsamayan kaynakları işaretle.
- Bir bulguyu yeniden üretilebilir biçimde kaydet: Şüpheli bir oturum kaydı için sorguyu, zaman aralığını, kaynak indeksini ve sonucun özetini kanıt günlüğüne ekle.
- Ele geçirilen hesabın oturum açtığı makineleri listele: Otuz günlük oturum kayıtlarından tek bir hesabın eriştiği makineleri ilk ve son görülme zamanıyla çıkar.
- Av bulgularını kanıt gücüne göre etiketle: Sekiz bulguyu doğrulanmış, olası ve doğrulanmamış olarak etiketle ve her biri için dayandığı kaydı göster.
- Şüpheli makinenin hedef başına gönderdiği veri miktarını topla: Akış kayıtlarından makinenin dış hedeflere gönderdiği bayt toplamını çıkar ve en büyük üç hedefi yaz.
Kurs hakkında
Haftalara yayılmış bir sızmayı birden çok veri kaynağında izler, saldırganın ilk erişimden sızdırmaya kadar tüm adımlarını kanıtla bağlar ve yönetime sunarsın.
Ne öğreneceksin
Ön koşullar
Aynı yolun 401 düzeyine kadar olan konularında deneyimli olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 501 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.