Snort ile saldırı tespiti
Kurallar yazmak, uyarıları yorumlamak ve ayarlamak.
Seviye 301 · 15 ders · 12 pratik lab
Dersler
Snort’u tanımak
- Snort ve saldırı tespit sistemi (IDS) kavramları: Snort gibi bir saldırı tespit sisteminin (IDS) ne işe yaradığını, imza ile anormallik tespitinin farkını ve ağda nereye konduğunu anlarsın.
- Snort yapılandırması ve HOME_NET: Snort yapılandırma dosyasında HOME_NET gibi temel değişkenlerin ne işe yaradığını ve kendi ağına göre nasıl ayarlanacağını öğrenirsin.
- Snort koklama ve paket kaydı kipleri: Snort'u yalnızca paketleri gösteren koklama kipinde ve paketleri kaydeden kipte kendi laboratuvarında çalıştırmayı öğrenirsin.
- Snort 3 yapılandırması: snort.lua ve inceleyiciler
- Kısa görev: Snort’u bir PCAP üzerinde çalıştır ve uyarı sayısını raporla
Kural yazmak
- Snort kural yapısı: başlık ve seçenekler: Bir Snort kuralının başlık ve seçenek bölümlerinin ne anlama geldiğini okuyup kuralın neyi yakalamak için yazıldığını çözersin.
- Snort ile yerel kural yazmak: Snort'ta kendi ağındaki bir davranışı izlemek için basit bir yerel kural yazıp uyarı ürettiğini doğrulamayı öğrenirsin.
- Snort'ta içerik eşleştirme ve PCRE: Snort kurallarında paket içeriğini metin ve düzenli ifadeyle (PCRE) eşleştirmeyi ve yanlış alarmı azaltmak için kuralın ne kadar özgül olması gerektiğini anlarsın.
- Kuralı kayıtlı trafikle sınamak: doğru ve yanlış örnekler
- Kısa görev: lab uygulamasına giden yönetici paneli isteğini yakalayan kural yaz
Tespit ve ayar
- Snort ile web saldırı desenlerini tespit etmek: Snort ile kendi laboratuvar web sunucunu hedef alan bilinen saldırı desenlerini tespit eden kuralları ve uyarıların nasıl göründüğünü öğrenirsin.
- Snort ile tarama izlerini tespit etmek: Snort ile ağında port taraması gibi keşif hareketlerini fark eden kuralları kurup uyarıları izlemeyi öğrenirsin.
- Snort uyarılarını okumak ve yorumlamak: Snort uyarılarını okuyup öncelik, kaynak ve hedef bilgilerinden gerçek bir sorunu yanlış alarmdan ayırmayı öğrenirsin.
- Snort’ta eşik, bastırma ve gürültüyü azaltmak
- Bitirme görevi: Snort uyarılarından olay raporu: Kurgusal bir şirketin Snort uyarılarını inceleyip ne olduğunu anlatan ve öneriler içeren kısa bir olay raporu yazarsın.
Pratik lablar
- Snort'u bir PCAP üzerinde çalıştır: Hazır bir kaydı Snort'tan geçir ve üretilen uyarı sayısını raporla.
- HOME_NET'i doğru tanımla: Lab ağının adres aralığını yapılandırmaya yaz ve aynı kayıtta uyarıların nasıl değiştiğini göster.
- snort.lua'da inceleyicileri ayarla: Snort 3 yapılandırmasında HTTP inceleyicisini standart dışı bir porta tanıt ve yapılandırma sınamasından geçir.
- Kural başlığını parçalarına ayır: Üç hazır kuralın eylem, protokol, adres, port ve yön bölümlerini açıkla.
- Yönetici paneli isteğini yakalayan kural: Lab uygulamasının yönetici paneline giden isteği içerik eşleştirmeyle yakalayan yerel kural yaz ve kayıtla sına.
- PCRE ile daraltılmış kural: İçerik eşleştirmesine PCRE ekleyerek kuralı yalnızca sayısal kimlik taşıyan isteklerde tetikle ve doğru ile yanlış örnek kayıtlarla kanıtla.
- Tarama izini tespit et: Lab ağında alınmış tarama kaydını Snort'tan geçir ve hangi kuralın tetiklendiğini göster.
- Web saldırı desenlerini yakala: Kendi lab web uygulamana ait kayıtta dizin aşımı ve enjeksiyon denemelerini yakalayan iki kural yaz.
- Aynı olayı iki kuralla karşılaştır: Aynı tarama kaydında geniş ve dar yazılmış iki kuralın uyarı sayısını ve kaçırdıklarını karşılaştır.
- Uyarı satırını oku: Beş uyarının imza kimliğini, önceliğini, sınıfını ve uç noktalarını tabloya yaz.
- Eşik ile gürültüyü azalt: Dakikada yüzlerce kez tetiklenen kurala eşik ekle ve uyarı sayısındaki düşüşü ölç.
- Uyarılardan olay raporu: Göktaşı Yazılım lab ağının Snort uyarılarını zaman sırasına koy ve ne olduğunu anlatan bir sayfalık rapor yaz.
Kurs hakkında
Kurallar yazmak, uyarıları yorumlamak ve ayarlamak.
Ne öğreneceksin
- Snort’u tanımak
- Kural yazmak
- Tespit ve ayar
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.