Python ile ağ tespiti: canlı izleme ve protokol çözümleme
Canlı trafiği Python ile izleyen, kendi protokol çözücülerini yazan ve ARP zehirlenmesi gibi saldırıları yakalayan tespit araçları kurarsın.
Seviye 401 · 13 ders · 12 pratik lab
Dersler
Canlı izleme
- sniff ve BPF süzgeçleriyle canlı yakalama
- ARP zehirlenmesini yakalayan izleyici
- Sahte DHCP sunucusunu fark etmek
- Kısa görev: ağa yeni bir cihaz katıldığında uyarı ver
Protokol çözümleme
- Scapy’de kendi protokol katmanını tanımlamak
- TLS Client Hello’dan SNI ve parmak izi çıkarmak
- Endüstriyel trafik: Modbus komutlarını okumak
- Kısa görev: belgesiz bir uygulama protokolünü çöz
Ölçek ve doğruluk
- Bellek tüketmeden akış halinde işlemek
- Zeek günlüklerini Python ile zenginleştirmek
- Yanlış alarmları ölçmek ve eşik ayarlamak
- Kısa görev: tarama dedektörünü yedek sunucu trafiğinde susturmadan ayarla
Kapanış
- Bitirme görevi: Python ile küçük bir ağ saldırı tespit sistemi
Pratik lablar
- Ağa yeni cihaz katıldı: Lab ağını sniff ile dinleyip bilinen MAC listesinde olmayan bir cihaz göründüğünde zaman damgalı uyarı üreten bir izleyici yaz.
- ARP zehirlenmesi alarmı: Ağ geçidinin MAC adresi değiştiğinde veya bir MAC birden çok IP için yanıt verdiğinde uyarı veren bir izleyici yaz ve lab’daki benzetimli saldırıda tetiklendiğini göster.
- Sahte DHCP sunucusu: Lab ağında DHCP tekliflerini izleyip yetkili sunucu dışındaki kaynağı bulan, aynı zamanda yetkili sunucunun yedeğini yanlışlıkla alarm saymayan bir dedektör yaz.
- Kendi Scapy katmanın: Lab’daki sensör cihazlarının kullandığı belgelenmiş küçük protokol için bir Scapy katmanı tanımla ve kayıttaki paketlerin alanlarını okunur biçimde göster.
- TLS bağlantılarından SNI envanteri: Kayıttaki TLS Client Hello mesajlarından SNI ve istemci parmak izini çıkar, aynı parmak izini kullanan makineleri grupla ve beklenmeyen istemciyi işaretle.
- Belgesiz protokolü çöz: Demirhan Makine üretim hattındaki belgesiz uygulama protokolünün alan yapısını örnek paketlerden çıkar, bir Scapy katmanı yaz ve komut türlerini doğru ayırdığını göster.
- Zeek kayıtlarına varlık bilgisi ekle: Verilen Zeek conn.log dosyasını envanter tablosuyla birleştirip her bağlantıya makine sahibini ve önem düzeyini ekleyen bir betik yaz.
- Yetkisiz Modbus yazma komutları: Endüstriyel trafik kaydındaki Modbus işlevlerini çöz ve mühendislik istasyonu dışından gelen yazma komutlarını kaynak, kayıt adresi ve değerle listele.
- Günlerce kayıtta bellek taşması: Tüm Zeek kayıtlarını belleğe alıp çöken analiz betiğini satır satır akışla ve sınırlı durumla çalışacak şekilde yeniden yaz, sonucun aynı kaldığını göster.
- Yanlış alarm oranını ölç: Etiketli test kaydı üzerinde tarama dedektörünü çalıştırıp doğru ve yanlış alarmları sayan, sonucu oran olarak raporlayan bir ölçüm betiği yaz.
- Yedek sunucu dedektörü susturmasın: Gece yedeklemesi yüzünden sürekli alarm veren tarama dedektörünü yalnız yedek trafiğini dışarıda bırakacak şekilde ayarla ve gerçek taramanın hâlâ yakalandığını göster.
- Üç kurallı küçük saldırı tespit sistemi: Port taraması, ARP zehirlenmesi ve DNS sızdırma için kurallar içeren bir tespit aracı yaz, Harborview Hospital lab kaydında üç olayı da tek JSON çıktıda raporla.
Kurs hakkında
Canlı trafiği Python ile izleyen, kendi protokol çözücülerini yazan ve ARP zehirlenmesi gibi saldırıları yakalayan tespit araçları kurarsın.
Ne öğreneceksin
- Canlı izleme
- Protokol çözümleme
- Ölçek ve doğruluk
- Kapanış
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.