Filo genelinde canlı müdahale: Velociraptor ve osquery
Yüzlerce uç noktada aynı soruyu aynı anda sorar, Velociraptor ile hedefli delil toplar, osquery ile sistem durumunu sorgular ve bulguları merkezde birleştirirsin.
Seviye 401 · 13 ders · 12 pratik lab
Dersler
Ölçekte düşünmek
- Tek makineden filoya: ölçekte müdahalenin sorunları
- Velociraptor mimarisi: sunucu, istemci, artefakt
- osquery: sistemi SQL ile sorgulamak
- Kısa görev: tüm makinelerde dinleyen portları osquery ile listele
Avlar ve toplama
- VQL ve hazır artefaktlar ile sorgu yazmak
- Filo çapında av: bir özet ya da dosya adını her yerde aramak
- Hedefli toplama paketleri: KAPE benzeri hızlı delil
- Uzaktan karantina ve süreç sonlandırma
- Kısa görev: bir göstergeye uyan makineleri bul ve karantinaya al
Analiz ve sürdürmek
- Yığma analizi: herkeste olan ile tek makinede olanı ayırmak
- Kendi artefaktını yazmak ve paylaşmak
- Sürekli izleme sorguları ve uyarılar
- Bitirme görevi: 50 makinelik bir filoda ele geçirilmiş üç makineyi bul ve temizle
Pratik lablar
- Dinleyen portları osquery ile listele: Tüm lab makinelerinde dinleyen portları ve süreçlerini tek sorguyla listele.
- Yetkili kullanıcıları ve anahtarları sorgula: Filoda yönetici yetkili hesapları ve authorized_keys girdilerini sorgula, farklı olanı bul.
- Sürekli izleme sorgusu kur: Yeni dinleyen port açıldığında kayıt üreten zamanlanmış sorgu paketi yaz.
- Hazır artefaktla toplama yap: Tek bir istemciden zamanlanmış görev artefaktını topla ve sonucu oku.
- Bir özeti filo çapında ara: Verilen dosya özetini tüm istemcilerde arayan avı başlat ve eşleşen makineleri listele.
- VQL ile kendi artefaktını yaz: Belirli dizindeki son yedi günde oluşan çalıştırılabilir dosyaları toplayan artefakt yaz ve paylaş.
- Hedefli delil paketi topla: Bir istemciden kayıtları, kabuk geçmişini ve kalıcılık noktalarını hızlı paket olarak topla.
- Göstergeye uyan makineleri karantinaya al: Avda eşleşen istemcileri ağdan yalıt ve yalnızca müdahale sunucusuna erişimin kaldığını doğrula.
- Uzaktan süreç sonlandır ve doğrula: Eşleşen istemcilerde şüpheli süreci sonlandır, kalıcılığını kaldır ve yeniden avlayarak temizliği kanıtla.
- Herkeste olanı ve tekte olanı ayır: Filodaki servis listelerini yığ ve yalnızca bir makinede görülen servisi bul.
- Nadir otomatik başlatma girdileri: Tüm istemcilerin otomatik başlatma girdilerini say ve en nadir beşi incele.
- Filoda ele geçirilmiş makineleri bul: Hazır elli makinelik veri kümesinde yığma analiziyle ele geçirilmiş üç makineyi bul ve temizleme adımlarını yaz.
Kurs hakkında
Yüzlerce uç noktada aynı soruyu aynı anda sorar, Velociraptor ile hedefli delil toplar, osquery ile sistem durumunu sorgular ve bulguları merkezde birleştirirsin.
Ne öğreneceksin
- Ölçekte düşünmek
- Avlar ve toplama
- Analiz ve sürdürmek
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.