Python ile adli inceleme ve zararlı yazılım ön analizi
Dosya imzaları, dosya oyma, PE ve ELF başlıkları, meta veri ve IOC çıkarımını Python ile otomatikleştirip şüpheli dosyaları güvenle ön incelersin.
Seviye 301 · 17 ders · 15 pratik lab
Dersler
Dosyayı tanımak
- Şüpheli dosyayla güvenli çalışma kuralları
- Sihirli baytlarla gerçek dosya türünü bulmak
- ssdeep ve TLSH ile benzer dosyaları bulmak
- Entropi ile paketlenmiş veya şifreli içeriği sezmek
- Kısa görev: bir klasördeki uzantısı yalan söyleyen dosyaları bul
Çalıştırılabilir dosyalar
- pefile ile PE başlıkları ve bölümler
- İçe aktarılan işlevler ve imphash
- lief ile ELF dosyalarını incelemek
- Office makroları ve PDF nesnelerini çıkarmak
- Kısa görev: şüpheli PE dosyasının neden şüpheli olduğunu raporla
Kanıt ve IOC
- Disk imajından dosya oymak
- Belge ve fotoğraf meta verilerini toplamak
- Metinden IP, alan adı, URL ve özet ayıklamak
- IOC’leri zararsızlaştırıp paylaşmak
- Kısa görev: olay klasöründen paylaşılabilir IOC listesi çıkar
Kapanış
- Özetlerle delil zinciri ve inceleme kaydı
- Bitirme görevi: şüpheli dosyalar için otomatik ön inceleme hattı
Pratik lablar
- Uzantısı yalan söyleyen dosyalar: Bir olay klasöründeki dosyaların sihirli baytlarını okuyup uzantısıyla uyuşmayanları gerçek türleriyle listeleyen bir betik yaz.
- Şifreli içerik nerede: Dosya ve bölüm bazında entropi hesaplayan bir betik yaz ve klasördeki paketlenmiş ya da şifrelenmiş dosyaları sıkıştırılmış arşivlerden ayırarak göster.
- Aynı aracın farklı sürümleri: ssdeep ve TLSH ile örnek havuzundaki dosyaları benzerliğe göre kümele, aynı eğitim örneğinin yeniden derlenmiş sürümlerini bul ve eşik seçimini gerekçelendir.
- PE bölümlerine bakış: pefile ile verilen PE dosyasının bölümlerini boyut, izin ve entropiyle tablo halinde çıkaran ve hem yazılabilir hem çalıştırılabilir bölümü işaretleyen bir betik yaz.
- imphash ile örnekleri grupla: Örnek klasöründeki PE dosyalarının imphash değerlerini hesaplayıp grupla ve süreç belleğine yazma ile uzak iş parçacığı işlevlerini içe aktaranları ayrıca listele.
- Bu PE neden şüpheli: Verilen PE dosyası için başlık zaman damgası, bölüm adları, içe aktarımlar, entropi ve imza durumunu inceleyip şüphe gerekçelerini puanlı kısa bir rapora dönüştür.
- Belgedeki makroyu çıkar: Lale Eczanesi’ne gelen eğitim amaçlı Office belgesinden makro kodunu çıkaran bir betik yaz ve otomatik çalışan işlevi ve indirdiği adresi raporla.
- PDF içinde gizli JavaScript: Verilen PDF dosyasının nesnelerini dolaşıp JavaScript, otomatik eylem ve gömülü dosya içerenleri bulan bir betik yaz ve sıkıştırılmış akışı çözerek içeriği göster.
- Şüpheli dosyalar için ön inceleme hattı: Bir klasöre düşen her dosya için tür, özet, entropi, YARA eşleşmesi ve IOC çıkarımı yapan, delil zinciri kaydı tutan ve özet rapor üreten bir hat kur.
- Fotoğraf ve belge meta verileri: Olay klasöründeki fotoğraf ve belgelerden yazar, yazılım, oluşturma zamanı ve konum meta verilerini toplayan ve tek tabloda gösteren bir betik yaz.
- Şüpheli ELF dosyası: lief ile sunucuda bulunan ELF dosyasının bağlı kütüphanelerini, sembollerini ve bölümlerini incele ve sıradan bir sistem aracından farkını kısa bir notla açıkla.
- Disk imajından silinmiş dosya: Verilen küçük disk imajında dosya imzalarını arayıp silinmiş görüntü ve belgeleri oy, özetlerini al ve her birini imajdaki konumuyla delil kaydına işle.
- Rapordan IOC ayıkla: Verilen olay notlarından IP, alan adı, URL ve özet değerlerini düzenli ifadelerle ayıklayan, tekrarları kaldıran ve türüne göre gruplayan bir betik yaz.
- Paylaşılabilir IOC listesi: Olay klasöründeki göstergeleri zararsızlaştırılmış biçimde ve iç adresleri ayıklayarak paylaşılabilir bir listeye dönüştür ve geri çevirme işlevinin aynı değerleri verdiğini göster.
- IOC ayıklayıcı dosya adlarını alan adı sanıyor: rapor.pdf ve ayar.json gibi dosya adlarını alan adı, sürüm numaralarını IP sanan ayıklayıcıyı düzelt ve etiketli test metninde hassasiyetin arttığını ölçerek göster.
Kurs hakkında
Dosya imzaları, dosya oyma, PE ve ELF başlıkları, meta veri ve IOC çıkarımını Python ile otomatikleştirip şüpheli dosyaları güvenle ön incelersin.
Ne öğreneceksin
- Dosyayı tanımak
- Çalıştırılabilir dosyalar
- Kanıt ve IOC
- Kapanış
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.