Ağda tehdit avı: işaretleşme, DNS, olağandışı akışlar
Ağ akışı, DNS ve TLS kayıtlarında gizlenen komuta-kontrol trafiğini, DNS tünellerini ve veri sızdırmayı istatistik ve sezgiyle avlarsın.
Seviye 301 · 15 ders · 15 pratik lab
Dersler
Komuta-kontrol
- C2 trafiğinin özellikleri
- İşaretleşme analizi: aralık, sapma, veri boyutu
- İşaretleşme puanlaması için betik yazmak
- Kısa görev: rastgele sapmalı bir işaretleşmeyi bul
DNS
- DNS temel çizgisi: en çok sorgulanan ve nadir alan adları
- DNS tüneli: uzun alt alan adları ve TXT trafiği
- Algoritmayla üretilmiş alan adları
- Yeni kaydedilmiş alan adlarına giden trafik
- Kısa görev: DNS üzerinden sızdırılan dosyayı yeniden oluştur
Akışlar ve sızdırma
- Veri hacmi aykırılıkları
- Olağandışı port ve protokol kullanımı
- İç ağda tarama ve keşif izleri
- TLS’te av: SNI, sertifika, parmak izi
- Kısa görev: mesai dışı büyük yüklemeleri açıkla ya da olay aç
Bitirme
- Bitirme görevi: bir haftalık ağ verisinde saldırganın tüm kanallarını bul
Pratik lablar
- Her 60 saniyede bir dışarı arayan makineyi bul: Bağlantı kayıtlarında aynı hedefe eşit aralıklarla giden kaynağı bul ve aralığı hesapla.
- Rastgele sapmalı işaretçiyi istatistikle yakala: Bağlantı aralıklarının ortalamasını ve sapmasını hesapla ve düşük değişkenlik gösteren çifti bul.
- İşaretçi adaylarını puanlayan betik yaz: Aralık düzeni, veri boyutu ve bağlantı sayısından puan üreten betiği yaz ve ilk beş adayı listele.
- Güncelleme trafiğinden gizlenen C2’yi ayır: Düzenli aralıklı meşru güncelleme denetimlerini ele ve geriye kalan tek şüpheli hedefi kanıtla.
- En uzun alt alan adlarını sorgulayan makineyi bul: DNS kayıtlarında sorgu uzunluğunu hesapla ve çok uzun adları tekrar tekrar soran kaynağı göster.
- DNS üzerinden sızdırılan dosyayı yeniden kur: Kodlanmış alt alan adlarını sırayla birleştir, çöz ve dosyanın içindeki gizli değeri bul.
- Algoritmayla üretilmiş alan adlarını ayıkla: Sorgulanan adları rastgelelik ve NXDOMAIN oranına göre sırala ve bunları üreten makineyi bul.
- Yeni kayıtlı alan adına giden trafiği bağlamıyla doğrula: Kayıt tarihi listesiyle sorguları eşleştir, ardından gelen bağlantıları incele ve zararlı olanı ayır.
- TXT kayıtlarıyla komut alan makineyi bul: Olağan dışı TXT sorgu hacmini bul ve yanıtlardaki kodlanmış komutları çöz.
- Mesai dışında en çok veri gönderen makineyi bul: Akışları saate göre süz, dışa giden baytı topla ve gece en çok gönderen kaynağı yaz.
- İç ağda tarama yapan makineyi akışlardan bul: Kısa sürede çok sayıda farklı hedefe ve porta bağlanan kaynağı bul ve tarama türünü belirt.
- Olağan dışı port ve protokol eşleşmesini bul: Bilinen portlarda beklenmeyen protokol taşıyan akışları ayıkla ve 53. porttaki büyük TCP aktarımını açıkla.
- Büyük gece yüklemesini açıkla ya da olay aç: Aktarımı yedekleme takvimi ve hedef sahibiyle karşılaştır ve kararını kanıtla yaz.
- Tek bir alan adına en çok alt alan adı soran makineyi bul: Bir günlük DNS kaydında tek bir üst alan adı altında en çok farklı alt alan adı sorgulayan iç makineyi bul ve sorgu sayısını yaz.
- En az görülen hedef portları listele: Bir günlük akış kaydında hedef portları say ve yalnızca bir iç makinenin kullandığı portları yaz.
Kurs hakkında
Ağ akışı, DNS ve TLS kayıtlarında gizlenen komuta-kontrol trafiğini, DNS tünellerini ve veri sızdırmayı istatistik ve sezgiyle avlarsın.
Ne öğreneceksin
- Komuta-kontrol
- DNS
- Akışlar ve sızdırma
- Bitirme
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.