Meterpreter ve ele geçirilmiş sistemde iz sürmek
Bir ihlalden sonra süreç, ağ ve dosya delilleri; kapsama alma ve kurtarma.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
İhlali anlamak
- Meterpreter: ele geçirme sonrası, savunmacının bakışı: Meterpreter gibi bir uzaktan oturum aracı bir sistemi ele geçirdikten sonra savunmacının hangi sorulara yanıt araması gerektiğini ve nereden başlayacağını anlayacaksın.
- İlk müdahale: kanıtı bozmadan durumu tespit etmek
- Meterpreter oturum izleri: süreçler ve bağlantılar: Şüpheli bir Meterpreter oturumunun makinede bıraktığı süreç ve ağ bağlantısı izlerini bulup yorumlamayı öğreneceksin.
- Meterpreter'ın sahte süreç adlarını fark etmek: Meterpreter gibi araçların kullanabileceği, meşru görünen ama aslında şüpheli süreç adlarını yol, üst süreç ve davranışa bakarak fark etmeyi öğreneceksin.
- Meterpreter hangi yetkiyle çalışıyor: kullanıcı ve root bağlamı: Meterpreter oturumunun hangi yetkiyle, kullanıcı mı root mu, çalıştığını kontrol edip beklenmedik yüksek yetkileri fark etmeyi öğreneceksin.
- Kısa görev: lab sunucusunda şüpheli oturumun süreç ve bağlantılarını bul
Deliller
- Meterpreter'dan sızabilecek kimlik bilgileri ve korunması: Meterpreter oturumu ele geçirilmiş bir makinede hangi kimlik bilgilerinin sızabileceğini bilip bunları korumak için alınacak önlemleri öğreneceksin.
- Meterpreter dosya ve ağ delilleri: Meterpreter oturumunun bıraktığı şüpheli dosya değişikliklerini ve ağ bağlantılarını delil olarak toplayıp zaman sırasına dizmeyi öğreneceksin.
- Bellek görüntüsü almak ve temel inceleme
- Ağ imzaları: IDS kurallarıyla oturum trafiğini tanımak
- Kısa görev: dosya, ağ ve bellek delillerini zaman çizelgesine yerleştir
Kapsama ve kurtarma
- Meterpreter kapsama alma: izole etmek ve oturumları kesmek: Meterpreter oturumu olan ele geçirilmiş bir makineyi ağdan ayırıp oturumları kesmenin doğru sırasını ve dikkat edilecek noktaları öğreneceksin.
- Meterpreter sonrası temizlik ve kurtarma: Meterpreter gibi araçlarla saldırganın bıraktığı kalıntıları temizlemeyi ve sistemi güvenilir bir duruma geri getirmeyi öğreneceksin.
- Meterpreter: çıkarılan dersler ve sıkılaştırma: Meterpreter içeren bir olaydan çıkarılan dersleri yazıp aynı yoldan tekrar girilmesini önleyecek sıkılaştırma adımlarına çevirmeyi öğreneceksin.
- Tekrarını yakalamak: tespit kuralı yazmak
- Bitirme görevi: Meterpreter ihlalinin iz sürme raporu: Bitirme görevinde kurgusal bir şirkette Meterpreter oturumu izi taşıyan bir lab makinesinin delillerini inceleyip olay zamanını, etkiyi ve düzeltmeleri raporlayacaksın.
Pratik lablar
- Lab sunucusunda şüpheli oturumun süreç ve bağlantılarını bul: Önceden ele geçirilmiş lab sunucusunda olağan dışı süreçleri ve dış bağlantıları listele, ilk tespit notunu yaz.
- Sahte süreç adıyla gizlenen oturumu fark et: Süreç adı, ikili dosya yolu ve ebeveyn süreç uyuşmazlıklarından şüpheli süreci bul ve kanıtla.
- Şüpheli oturumun hangi yetkiyle çalıştığını belirle: Oturumun kullanıcı, grup ve yetenek bilgilerini çıkar, etkilenen kapsamı buna göre rapora yaz.
- Kanıtı bozmadan uçucu verileri sırayla topla: Bağlantılar, süreçler ve açık dosyalar için çıktıları zaman damgasıyla ayrı dosyalara kaydet ve özet değerlerini al.
- Bellek görüntüsü al ve temel incelemeyi yap: Lab sunucusunun bellek görüntüsünü al, şüpheli sürecin bellekte bıraktığı izleri listele.
- Dosya, ağ ve bellek delillerini zaman çizelgesine yerleştir: Lodoskaya Denizcilik lab sunucusundaki delilleri tek zaman çizelgesinde birleştir ve ilk erişim anını belirle.
- İhlal edilen sunucuda açıkta kalan kimlik bilgilerini envantere al: Oturumun erişebildiği yapılandırma ve geçmiş dosyalarındaki kimlik bilgilerini listele ve döndürülecekleri işaretle.
- Sızmış olabilecek hesapları döndür ve oturumlarını kapat: Etkilenen hesapların parolalarını ve anahtarlarını yenile, açık oturumları kapat ve eski anahtarın reddedildiğini doğrula.
- İhlalde dokunulan dosyaları ve ağ hedeflerini çıkar: Dosya erişim zamanları ve bağlantı kayıtlarından değiştirilen dosyaları ve iletişim kurulan adresleri raporla.
- Oturum trafiğini tanıyan IDS kuralını etkinleştir: Lab sensöründe ilgili kural setini aç, kaydedilmiş trafiği yeniden oynat ve uyarının oluştuğunu doğrula.
- Tekrarını yakalayacak bir uç nokta tespit kuralı yaz: Şüpheli sürecin davranışından bir tespit kuralı yaz ve kayıtlı olayla sınayıp yanlış alarm üretmediğini kontrol et.
- Gürültülü tespit kuralını yanlış alarmları azaltacak şekilde ayarla: Bir haftalık lab günlüğünde kuralın yanlış alarmlarını incele, koşulları daralt ve gerçek olayı hâlâ yakaladığını göster.
- Etkilenen sunucuyu ağdan izole et ve oturumları kes: Güvenlik duvarıyla sunucuyu yalnızca inceleme makinesine açık bırak ve şüpheli bağlantının koptuğunu doğrula.
- İhlal sonrası kalıcılık izlerini temizle ve doğrula: Zamanlanmış görev, servis birimi ve başlangıç dosyalarındaki eklemeleri bul, kaldır ve yeniden başlatma sonrası kontrol et.
- İhlalin iz sürme raporunu çıkarılan derslerle yaz: Zaman çizelgesi, etki, kapsama, kurtarma ve sıkılaştırma önerilerini içeren olay raporunu hazırla.
Kurs hakkında
Bir ihlalden sonra süreç, ağ ve dosya delilleri; kapsama alma ve kurtarma.
Ne öğreneceksin
- İhlali anlamak
- Deliller
- Kapsama ve kurtarma
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.