Bellek adli bilişimi: avml ve Volatility
Bellek dökümü almak ve Volatility ile incelemek.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
Uçucu delil ve edinim
- Uçucu delil ve toplama sırası: Bellekteki verilerin makine kapanınca kaybolduğunu ve bu yüzden delilleri hangi sırayla toplaman gerektiğini anlarsın.
- avml ile bellek dökümü almak: Çalışan bir laboratuvar makinesinden bellek dökümü almanın amacını, yöntemini ve sisteme olan etkisini öğrenirsin.
- sha256sum ile dökümün bütünlüğünü kaydetmek: Bellek dökümünün özetini (hash) ve alım bilgilerini kaydederek dökümün sonradan değişmediğini gösterebilmeyi öğrenirsin.
- LiME çekirdek modülüyle bellek almak ve avml ile karşılaştırmak
- Kısa görev: bir sunucudan bellek al, özetle ve kayıt altına al
Volatility ile ilk adımlar
- strings ile ilk inceleme: strings ile bellek dökümündeki okunabilir metinlere hızlıca göz atıp ilginç ipuçlarını ayıklamayı öğrenirsin.
- Volatility: imaj bilgisi: Volatility ile dökümün hangi işletim sistemine ait olduğunu okuyup sonraki incelemeler için doğru ayarı seçmeyi öğrenirsin.
- Linux bellekleri için sembol tablosu: dwarf2json
- Volatility ile süreç listesi: pslist: pslist ile döküm alındığında çalışan süreçleri listelemeyi ve sıradışı veya yerinde olmayan bir süreci fark etmeyi öğrenirsin.
- linux.pstree ve linux.psaux ile süreç ağacı ve komut satırları
- Kısa görev: çocuk süreçlerinden şüpheli kabuğu bul
Ağ, dosya ve kabuk izleri
- Volatility ile ağ bağlantıları: netscan: netscan ile döküm anında açık olan ağ bağlantılarını görmeyi ve şüpheli uzak adresleri ayırt etmeyi öğrenirsin.
- Volatility ile süreç ve ağ bağlantısını ilişkilendirmek: Bir sürecin hangi ağ bağlantısını kurduğunu eşleştirerek şüpheli davranışın hikâyesini tek bir tabloda toplamayı öğrenirsin.
- linux.bash ile bellekteki komut geçmişi
- linux.lsof ve proc.Maps ile açık dosyalar ve bellek bölgeleri
- Bitirme görevi: Volatility ile bellek dökümünden olay özeti: Bitirme görevi: kurgusal bir şirketin bellek dökümünü inceler, şüpheli süreci ve bağlantısını bulur, bulguları kısa bir olay özetinde yazarsın.
Pratik lablar
- Bellek dökümünü özetle ve kaydet: Hazır bir bellek dökümünün SHA-256 özetini al ve edinim kaydına saat ve araçla birlikte yaz.
- avml ile lab sunucusundan bellek al: Lab sunucusunda avml ile döküm al, boyutunu fiziksel bellekle karşılaştır ve özetle.
- LiME ile avml'yi karşılaştır: İki araçla alınmış hazır dökümleri boyut, biçim ve sisteme bıraktığı iz açısından karşılaştır.
- strings ile ilk inceleme: Dökümde IP adreslerini ve adres satırlarını strings ve grep ile ara.
- İmaj bilgisini ve çekirdek sürümünü çıkar: Volatility ile dökümün çekirdek sürümünü belirle ve doğru sembol tablosunun yüklendiğini göster.
- dwarf2json ile sembol tablosu üret: Verilen çekirdek hata ayıklama dosyasından sembol tablosu üret ve dökümün artık çözümlendiğini kanıtla.
- Süreç listesini çıkar: pslist ile dökümdeki süreçleri başlangıç zamanlarıyla listele.
- Süreç ağacında şüpheli kabuğu bul: pstree ve psaux ile web sunucusu sürecinden doğan kabuğu ve komut satırını bul.
- Komut satırlarından olayı sırala: Şüpheli süreçlerin komut satırlarını başlangıç zamanına göre dizerek ne yapıldığını beş adımda anlat.
- Bellekteki ağ bağlantılarını listele: Dökümdeki açık bağlantıları ve dinleyen portları listele.
- Bağlantıyı sürece bağla: Dışarıya açık bağlantının hangi sürece ait olduğunu ve o sürecin üst sürecini bul.
- Bellekteki komut geçmişini kurtar: linux.bash ile bellekteki komut geçmişini çıkar ve diskten silinmiş komutları işaretle.
- Sürecin açık dosyalarını listele: linux.lsof ile şüpheli sürecin açık dosyalarını ve soketlerini çıkar.
- Bellek bölgelerini incele: proc.Maps ile sürecin bölgelerini listele ve dosya karşılığı olmayan yürütülebilir bölgeyi işaretle.
- Bellek dökümünden olay özeti: Demirsu Enerji'nin hazır sunucu dökümünden süreç, bağlantı ve komut bulgularını birleştirip bir sayfalık özet yaz.
Kurs hakkında
Bellek dökümü almak ve Volatility ile incelemek.
Ne öğreneceksin
- Uçucu delil ve edinim
- Volatility ile ilk adımlar
- Ağ, dosya ve kabuk izleri
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.