Uç noktada tehdit avı: kalıcılık, süreç ağaçları, meşru araçlar
Windows ve Linux uç noktalarından gelen süreç, kalıcılık ve oturum verilerinde saldırgan izi arar, meşru yönetici işini kötüye kullanımdan ayırırsın.
Seviye 301 · 15 ders · 15 pratik lab
Dersler
Süreçler
- Süreç temel çizgisi: hangi üst süreç neyi başlatır
- Olağandışı üst ve alt süreç ilişkileri
- Komut satırında av: kodlama, gizleme, uzun komutlar
- İmzasız ve olağandışı konumdaki programlar
- Kısa görev: kullanıcı dizininden çalışan imzasız programları yığ
Kalıcılık
- Otomatik başlatma noktalarını filo genelinde karşılaştırmak
- Zamanlanmış görev ve cron avı
- WMI aboneliği ve yeni hizmet avı
- Hesap aykırılıkları: yeni yöneticiler, olağandışı oturum saatleri
- Kısa görev: yalnızca iki makinede bulunan başlangıç girdisini incele
Meşru araçlar
- Meşru araçların kötüye kullanımını avlamak
- Uzak yönetim araçları: izinli mi değil mi
- Kimlik bilgisi erişimi izleri
- Kısa görev: certutil ile yapılan indirmeleri bul ve sınıflandır
Bitirme
- Bitirme görevi: 200 uç nokta arasında sessiz bir saldırganı bul
Pratik lablar
- Sıra dışı ebeveyn-çocuk süreç çiftini bul: Ebeveyn ve çocuk çiftlerini say ve yalnızca bir kez görülen çifti komut satırıyla göster.
- Kullanıcı klasöründen çalışan imzasız programları yığ: AppData ve Temp altından çalışan imzasız ikilileri makine sayısına göre sırala.
- Çok uzun ve kodlanmış komut satırlarını ayıkla: Komut satırlarını uzunluk ve karakter dağılımına göre sırala ve gizlenmiş betiği çöz.
- Sistem aracını taklit eden süreç adını yakala: svchost ve benzeri adları beklenen yollarıyla karşılaştır ve yanlış klasörden çalışanı bul.
- Filo temel çizgisine göre nadir süreci doğrula: Nadir bir sürecin özetini, imzasını ve ilk görülme zamanını incele ve zararlı olup olmadığına karar ver.
- Yalnızca iki makinede bulunan başlangıç girdisini bul: Otomatik başlatma noktalarını filo genelinde karşılaştır ve nadir girdiyi yoluyla yaz.
- Linux uç noktalarında sıra dışı cron işlerini avla: Tüm makinelerin cron girdilerini komutuna göre grupla ve dış adresten betik indireni bul.
- Yeni açılan yönetici hesaplarını oturum saatleriyle incele: Son hafta eklenen yerel yöneticileri listele ve mesai dışında kullanılan hesabı işaretle.
- Yeni servis ve WMI aboneliklerinde gizli kalıcılığı bul: Servis ve abonelik kayıtlarını birlikte incele, meşru yazılım kurulumlarını ele ve kalanı kanıtla.
- certutil ile yapılan indirmeleri bul ve sınıfla: certutil çağrılarını komut satırına göre süz ve yönetici işi ile şüpheli indirmeyi ayır.
- Onaysız uzaktan yönetim aracını bul: Uzaktan erişim araçlarını onaylı listeyle karşılaştır ve listede olmayan aracın kurulduğu makineleri çıkar.
- Kimlik bilgisi erişimi izlerini üç kaynaktan topla: LSASS erişimi, kayıt kovanı dışa aktarımı ve parola dosyası aramalarını tek zaman çizgisinde birleştir.
- Meşru yedekleme aracıyla yapılan veri toplamayı ayır: Arşivleme komutlarını hedef klasör ve boyuta göre incele ve sızdırma hazırlığını gösteren çağrıyı bul.
- Adı, yolu ve imzası birbirini tutmayan süreçleri filo genelinde bul: Süreç kayıtlarını özgün dosya adı, imzalayan ve yol alanlarıyla karşılaştıran bir sorgu yaz, yeniden adlandırılmış sistem araçlarını listele ve meşru olanları ayıkla.
- Mesai dışında oluşturulan arşiv dosyalarını bul: Dosya oluşturma kayıtlarında gece saatlerinde üretilen arşiv uzantılı dosyaları makine ve kullanıcıyla listele.
Kurs hakkında
Windows ve Linux uç noktalarından gelen süreç, kalıcılık ve oturum verilerinde saldırgan izi arar, meşru yönetici işini kötüye kullanımdan ayırırsın.
Ne öğreneceksin
- Süreçler
- Kalıcılık
- Meşru araçlar
- Bitirme
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.