Elastic ile güvenlik analizi: ECS, KQL, EQL, panolar
Elastic Stack’e güvenlik verisi alır, ortak alan şemasına uydurur, KQL ve EQL ile karmaşık sorgular yazar, tespit kuralları ve analist panoları kurarsın.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
Veri
- Elastic mimarisi: indeks, belge, alan, veri akışı
- Elastic Agent ve Beats ile veri göndermek
- Alım hatları: ayrıştırma, zenginleştirme, GeoIP
- ECS: farklı kaynakları ortak alan adlarına eşlemek
- Kısa görev: özel bir uygulama logunu ECS alanlarıyla içeri al
Sorgu
- İleri KQL: joker, aralık, iç içe alanlar
- ESQL ile toplulaştırma ve istatistik
- EQL dizileri: önce bu, sonra şu oldu
- Zaman çizelgesiyle soruşturma
- Kısa görev: indirip ardından çalıştırma dizisini EQL ile yakala
Tespit ve görselleştirme
- Tespit kuralları: sorgu, eşik, dizi
- Kural istisnaları ve önem eşlemesi
- Analist panoları: ne gösterilmeli, ne gösterilmemeli
- Saklama ve indeks yaşam döngüsü
- Kısa görev: kimlik doğrulama olayları için tek sayfalık pano yap
Bitirme
- Bitirme görevi: yeni bir log kaynağını uçtan uca Elastic’e bağla ve üç tespit yaz
Pratik lablar
- Günlük satırını ingest pipeline ile alanlara ayır: dissect ya da grok işlemcisiyle satırı ayrıştır ve simulate ile sonucu doğrula.
- Özel alan adlarını ECS alanlarına eşle: Uygulamanın kullanıcı, adres ve sonuç alanlarını ECS karşılıklarına yeniden adlandır ve belgede göster.
- GeoIP zenginleştirmesi ekle ve ülkeye göre say: Pipeline’a geoip işlemcisi ekle ve girişleri ülke bazında toplayan sorguyu çalıştır.
- Bozuk zaman damgası yüzünden yanlış güne düşen olayları düzelt: Tarih biçimi ve saat dilimi hatasını bul, date işlemcisini düzelt ve olayların doğru saate oturduğunu göster.
- KQL ile aralık ve joker karakter kullanarak ara: 1024 üzeri hedef portlara ve belirli bir alan adı kalıbına giden bağlantıları süz.
- ESQL ile kullanıcı başına başarısız giriş istatistiği çıkar: Başarısız girişleri kullanıcı ve kaynak sayısına göre topla ve çok kaynaktan denenen hesabı bul.
- EQL ile indirme sonrası çalıştırma dizisini yakala: Aynı makinede dosya oluşturma ve ardından o dosyanın çalışmasını bir dakikalık pencerede eşleştir.
- EQL dizisine araya giren olay koşulu ekle: Oturum kapandığında diziyi sonlandıran koşulu ekle ve yanlış eşleşmelerin kaybolduğunu göster.
- Eşik kuralıyla parola denemesini alarmla: Beş dakikada aynı kaynaktan yirmi başarısız girişi yakalayan kural oluştur ve test verisiyle tetikle.
- Kurala istisna ekle ve ciddiyeti varlığa göre ayarla: Tarama sunucusunu istisna yap ve kritik sunucular için ciddiyeti yükselten eşlemeyi ekle.
- Bu tespit kuralının kaçırdığı olayı bul ve düzelt: Kuralın sorgusunda alan adı uyuşmazlığını bul, düzelt ve geçmiş veride kaçan olayın yakalandığını göster.
- Kimlik doğrulama için tek sayfalık pano kur: Başarısız girişler, yeni kaynak ülkeler ve kilitlenen hesaplar için üç görsel oluştur ve bir sapmayı göster.
- Zaman çizelgesinde bir makinenin olaylarını sırala: Şüpheli makinenin süreç, ağ ve dosya olaylarını zaman çizelgesine ekle ve ilk olayı işaretle.
- Başarısız girişleri saat bazında gösteren bir grafik çiz: Kimlik doğrulama indeksinden başarısız girişleri saatlik çubuk grafik olarak göster ve en yoğun saati not et.
- Üç adımlı saldırı zincirini tek EQL dizisiyle yakala: Aynı makinede on dakika içinde belge açılması, betik yorumlayıcısı ve dış bağlantıyı sıralı arayan bir EQL dizisi yaz ve temiz veride eşleşmediğini göster.
Kurs hakkında
Elastic Stack’e güvenlik verisi alır, ortak alan şemasına uydurur, KQL ve EQL ile karmaşık sorgular yazar, tespit kuralları ve analist panoları kurarsın.
Ne öğreneceksin
- Veri
- Sorgu
- Tespit ve görselleştirme
- Bitirme
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.