Zararlı yazılım analizinin temelleri: strings, strace, ltrace
Statik ve davranışsal analiz.
Seviye 301 · 18 ders · 15 pratik lab
Dersler
Güvenli başlangıç
- Güvenli analiz ortamı ve kurallar: Şüpheli bir dosyayı kendi sistemlerine zarar vermeden incelemek için yalıtılmış bir analiz ortamını ve uyulacak kuralları anlarsın.
- file ve sha256sum ile dosya türünü ve parmak izini belirlemek: Bir dosyanın gerçek türünü ve benzersiz parmak izini (hash) bulup uzantısına güvenmenin neden yetmediğini anlarsın.
- Özet değerini tehdit istihbaratında aramak: ilk 5 dakika
- Kısa görev: üç şüpheli dosyanın kimlik kartını çıkar
Statik inceleme
- readelf ile ELF başlıklarını incelemek: Linux çalıştırılabilir dosyalarının ELF başlığını okuyup dosyanın hangi mimari ve yapı için hazırlandığını görmeyi öğrenirsin.
- strings ile gömülü dizgilerden gösterge çıkarmak: Dosyanın içine gömülü metinlerden adres, dosya yolu gibi savunmada işe yarayacak göstergeleri ayıklamayı öğrenirsin.
- Paketlenmiş dosyaları tanımak: entropi ve UPX: Bir dosyanın içeriğini gizlemek için sıkıştırılıp sıkıştırılmadığını entropi ölçümü ve UPX imzasıyla anlayabileceksin.
- nm ve objdump ile içe aktarılan işlevlerden yetenek tahmini
- YARA kurallarıyla benzer örnekleri bulmak: İncelediğin örnekten çıkardığın dizgi ve baytlarla bir YARA kuralı yazıp aynı aileden dosyaları bir klasörde tarayabileceksin.
- Kısa görev: paketlenmiş bir örneği tanı ve UPX ile aç
Davranış analizi
- strace ile davranış izleme: strace ile izole ortamda bir programın hangi dosyalara ve ağa eriştiğini gözlemleyip davranışını anlamayı öğrenirsin.
- ltrace ile kütüphane çağrıları: ltrace ile bir programın kullandığı kütüphane çağrılarını görüp ne yapmaya çalıştığı hakkında ipuçları toplamayı öğrenirsin.
- strace ile davranışı ve dosya değişikliklerini belgelemek: Gözlemlediğin davranışı ve dosya sisteminde oluşan değişiklikleri düzenli biçimde not etmeyi ve başkasının tekrarlayabileceği kayıt tutmayı öğrenirsin.
- Yalıtılmış ağda örneğin bağlanmaya çalıştığı adresleri görmek
- Kısa görev: bir örneğin oluşturduğu dosyaları ve süreçleri listele
Rapor
- Göstergeleri (IoC) çıkarıp raporlamak: Analizden savunmacıların arayabileceği göstergeleri (IoC) çıkarıp anlaşılır bir raporla paylaşmayı öğrenirsin.
- Davranışları MITRE ATT&CK teknikleriyle eşleştirmek
- Bitirme görevi: strace ile şüpheli bir dosyanın analiz raporu: Bitirme görevi: kurgusal bir şirketin güvenli ortamdaki şüpheli dosyasını inceler, davranışını ve göstergelerini kısa bir analiz raporunda toplarsın.
Pratik lablar
- Şüpheli dosyanın kimlik kartını çıkar: Üç etkisiz eğitim örneğinin türünü, boyutunu ve SHA-256 özetini tabloya yaz.
- Özeti yerel istihbarat listesinde ara: Örneklerin özetlerini lab içi gösterge listesinde ara ve eşleşenin aile etiketini raporla.
- Analiz ortamı kurallarını denetle: Lab analiz ortamında ağ yalıtımını, anlık görüntüyü ve örnek saklama kurallarını denetle ve eksikleri yaz.
- ELF başlığını oku: readelf ile örneğin mimarisini, giriş noktasını ve bölümlerini çıkar.
- Gömülü dizgilerden gösterge çıkar: strings çıktısından adresleri, dosya yollarını ve komutları ayıklayıp gösterge listesine yaz.
- İçe aktarılan işlevlerden yetenek tahmini: nm ve objdump ile içe aktarılan işlevleri listele ve örneğin ağ, dosya ve süreç yeteneklerini gerekçesiyle tahmin et.
- Entropiden paketlemeyi tanı: Üç dosyanın entropisini ölç ve paketlenmiş olanı belirle.
- UPX ile paketlenmiş örneği aç: Paketlenmiş eğitim örneğini tanı, UPX ile aç ve önce sonra dizgi sayısını karşılaştır.
- Benzer örnekleri bulan YARA kuralı: Ortak dizgilerden bir YARA kuralı yaz, yirmi dosyalık kümede yalnızca ilgili üç örneği yakaladığını göster.
- strace ile sistem çağrılarını izle: Etkisiz örneği yalıtılmış labda strace altında çalıştır ve açtığı dosyaları listele.
- Oluşturulan dosya ve süreçleri listele: strace çıktısından örneğin oluşturduğu dosyaları, başlattığı süreçleri ve değiştirdiği izinleri çıkar.
- Bağlanmaya çalıştığı adresleri gör: Yalıtılmış ağda örneğin DNS sorgularını ve bağlantı denemelerini yakala, ltrace ile hangi işlevin yaptığını göster.
- Göstergeleri tek tabloda topla: Bir analizden çıkan özet, dosya yolu, alan adı ve adres göstergelerini türlerine göre tabloya yaz.
- Davranışları ATT&CK ile eşleştir: Gözlenen beş davranışı ilgili MITRE ATT&CK tekniğiyle eşleştir ve kanıt satırını ekle.
- Şüpheli dosyanın analiz raporu: Etkisiz eğitim örneği için statik bulgu, davranış, gösterge ve savunma önerisi başlıklarıyla rapor yaz.
Kurs hakkında
Statik ve davranışsal analiz.
Ne öğreneceksin
- Güvenli başlangıç
- Statik inceleme
- Davranış analizi
- Rapor
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.