Olay dosyası: Harborline Freight ağında fidye yazılımı öncesi izler
Kurgusal lojistik şirketi Harborline Freight’in kayıtlarında ilk erişimden şifreleme öncesine kadar saldırganın ağdaki izini adım adım sürersin.
Seviye 301 · 15 ders · 12 pratik lab
Dersler
Olayın başlangıcı
- Olay bildirimi: depolama sunucusundaki tuhaf yük
- Elimizdeki veriyi tanımak: PCAP’ler, Zeek kayıtları, ağ haritası
- İlk erişim: kimlik avı ekinin indirildiği an
- İlk geri çağırma: yeni ana makineden dışarıya bağlantı
- Kısa görev: ilk etkilenen bilgisayarı ve saatini belirle
Ağda ilerleme
- İç keşif: tarama ve LDAP sorguları
- Ele geçirilen hesapla SMB ve RDP bağlantıları
- Verinin bir sunucuda toplanması
- Şifreleme öncesi dışarı aktarılan arşiv
- Kısa görev: saldırganın dokunduğu her ana makineyi zaman çizelgesine yerleştir
Sonuç ve öneriler
- Göstergeleri çıkarmak: IP, alan adı, dosya özeti, JA3
- Hangi uyarı kaçtı: kural ve sensör boşlukları
- Bir daha yakalamak için önerilen Suricata ve Zeek tespitleri
- Yönetici özeti: teknik olmayan okura olay anlatımı
- Bitirme görevi: Harborline olay raporunu zaman çizelgesi ve göstergelerle teslim et
Pratik lablar
- Elindeki veriyi tanı: Harborline vakasının PCAP'lerini, Zeek kayıtlarını ve ağ haritasını eşleştir, her kaynağın kapsadığı zaman aralığını yaz.
- İlk etkilenen bilgisayarı belirle: Kimlik avı ekinin indirildiği anı bul ve ilk etkilenen bilgisayarı saatiyle raporla.
- İlk geri çağırmayı kanıtla: İndirmeden sonra dışarıya açılan ilk yeni bağlantıyı bul ve neden olağan trafik olmadığını üç kanıtla göster.
- İç taramayı bul: Zeek kayıtlarında iç ağda tarama yapan ana makineyi ve taradığı aralığı belirle.
- Ele geçirilen hesabın bağlantıları: Aynı hesapla kurulan SMB ve RDP oturumlarını hedefleriyle birlikte sırala.
- Dokunulan her ana makineyi çizelgeye yerleştir: Vaka boyunca erişilen tüm ana makineleri ilk erişim saati ve kullanılan protokolle zaman çizelgesine yerleştir.
- Verinin toplandığı sunucuyu bul: İç ağda olağan dışı büyüklükte veri alan sunucuyu bayt sayılarından bul.
- Dışarı aktarılan arşivi ölç: Dışarı giden büyük aktarımın hedefini, süresini ve toplam boyutunu belirle.
- Toplama ile çıkışı birbirine bağla: İç toplama ile dış aktarımın aynı veriye ait olduğunu zaman, boyut ve ana makine üzerinden kanıtla.
- Göstergeleri listele: Vakadan IP, alan adı, dosya özeti ve JA3 göstergelerini tek tabloda topla.
- Kaçan uyarıyı bul ve tespit öner: Hangi aşamanın uyarı üretmediğini belirle ve bunu yakalayacak bir Suricata kuralı ile bir Zeek tespiti öner.
- Yönetici özeti yaz: Harborline olayını teknik olmayan okura ne oldu, etkisi ve ilk üç öneri başlıklarıyla bir sayfada anlat.
Kurs hakkında
Kurgusal lojistik şirketi Harborline Freight’in kayıtlarında ilk erişimden şifreleme öncesine kadar saldırganın ağdaki izini adım adım sürersin.
Ne öğreneceksin
- Olayın başlangıcı
- Ağda ilerleme
- Sonuç ve öneriler
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.