Tehdit avcılığına giriş: hipotez, veri, ATT&CK
Uyarı beklemeden saldırgan izi aramayı öğrenirsin: hipotez kurar, bakacağın veriyi seçer, sonuçları yorumlar ve bulduklarını yeni tespit kurallarına dönüştürürsün.
Seviye 201 · 15 ders · 15 pratik lab
Dersler
Av nedir
- Av ile izleme arasındaki fark
- Av döngüsü: hipotez, araştırma, sonuç, iyileştirme
- İyi bir hipotez yazmak
- Hangi veri gerekli: veri kaynağı kontrol listesi
- Kısa görev: bir tehdit raporundan üç av hipotezi çıkar
Teknikler
- Yığma: nadir olanı bulmak
- Temel çizgi: normal bir günü tanımak
- Gruplama ve kümeleme
- Bir ipucundan ötekine geçmek
- Kısa görev: tüm makineler içinde yalnızca birinde çalışan servisi bul
Sonuçlandırmak
- Avı belgelemek: bulunan ve bulunmayan
- Avdan kalıcı tespite
- Bulgu olaya dönüşünce: devretmek
- Av programını ölçmek: süre, bulgu, yeni kural
- Bitirme görevi: bir hipotezle avı baştan sona yürüt ve raporla
Pratik lablar
- Tehdit raporundan sınanabilir bir av hipotezi yaz: Rapordaki bir tekniği seç ve hangi veride hangi izi arayacağını söyleyen tek cümlelik hipotez kur.
- Bu hipotez için gereken veri kaynaklarını işaretle: Verilen üç hipotezi kontrol listesindeki kaynaklarla eşleştir ve eksik olanı belirt.
- Belirsiz bir hipotezi ölçülebilir hale getir: Ağda kötü bir şey var gibi genel bir fikri teknik, veri ve başarı ölçütü içeren hipoteze çevir ve ilk sorguyu çalıştır.
- Çürütülen hipotezden yeni bir ipucu çıkar: Sonuç vermeyen avın verisini yeniden incele, beklenmeyen bir örüntü bul ve ikinci hipotezi kur.
- Tüm makinelerde yalnızca birinde çalışan süreci bul: Süreç adlarını makine sayısına göre say ve en nadir olanı yoluyla birlikte yaz.
- En az görülen User-Agent değerlerini yığ: Vekil sunucu kayıtlarında User-Agent’ları say ve tek bir makineden gelen sıra dışı değeri bul.
- Normal günün temel çizgisini çıkar ve sapanı bul: Bir haftalık oturum saatlerinden kullanıcı başına olağan aralığı çıkar ve dışında kalan oturumu göster.
- Zamanlanmış görevleri komutuna göre kümele: Benzer komutları grupla, tek başına kalan görevi ve hangi makinede olduğunu bul.
- Bir ipucundan sonrakine geçerek zinciri tamamla: Nadir bir alan adından başlayıp makineye, sürece ve kullanıcıya geç ve her adımın sorgusunu kaydet.
- Avın sonucunu kısa bir kayıtla belgele: Hipotezi, bakılan veriyi, bulunanı ve bulunamayanı dört başlık altında yaz.
- Av bulgusunu kalıcı bir tespit kuralına çevir: Avda kullandığın sorguyu gürültüsünü azaltıp zamanlanmış kurala dönüştür ve geçmiş veride test et.
- Bulgunun olay sayılıp sayılmayacağına karar ver: Kanıtı olay ölçütleriyle karşılaştır, devretme notunu yaz ya da neden kapattığını gerekçelendir.
- Av programının üç aylık verimini ölç: Av kayıtlarından harcanan süreyi, bulguları ve üretilen kural sayısını hesapla ve en verimsiz av türünü belirle.
- Komut satırlarını kalıba indirip nadir kümeleri çıkar: On bin komut satırında yolları, sayıları ve kimlikleri yer tutucuyla değiştiren bir betik yaz, kalıpları say ve beşten az makinede görülen kümeleri incele.
- Sonuçsuz biten avı belgeleyip tespit kuralına ve veri isteğine çevir: Hipotezi, bakılan veriyi ve göremediğin alanları kaydet, işe yarayan sorguyu kurala dönüştür ve eksik log kaynağı için gerekçeli istek yaz.
Kurs hakkında
Uyarı beklemeden saldırgan izi aramayı öğrenirsin: hipotez kurar, bakacağın veriyi seçer, sonuçları yorumlar ve bulduklarını yeni tespit kurallarına dönüştürürsün.
Ne öğreneceksin
- Av nedir
- Teknikler
- Sonuçlandırmak
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.