Suricata’da ileri kural yazımı ve performans
Veri kümeleri, flowbits, Lua betikleri ve kural profillemeyle hem isabetli hem hızlı kurallar yazar, kural setini kalite denetiminden geçirirsin.
Seviye 401 · 14 ders · 12 pratik lab
Dersler
İleri anahtar sözcükler
- Yapışkan tamponlar ve dönüşümler: http.uri, dns.query, to_lowercase
- flowbits ve xbits: birden çok adımlı tespit
- Veri kümeleriyle binlerce göstergeyi tek kuralda eşlemek
- byte_test, byte_jump ve ikili protokollerde eşleme
- Kısa görev: önce oturum açan sonra dosya indiren istemciyi yakalayan kural zinciri yaz
Lua ve özel mantık
- Lua betikli kurallar: eşleme mantığını genişletmek
- Lua çıktı betikleriyle özel kayıt üretmek
- Lua kurallarında güvenlik ve performans sınırları
- Kısa görev: alan adındaki rastgelelik puanını hesaplayan Lua kuralı yaz
Performans ve kalite
- Kural profilleme: en pahalı kuralları bulmak
- fast_pattern ve ön süzgeç seçimini iyileştirmek
- Kural kalite denetimi: söz dizimi, çakışma ve sınama PCAP’leri
- Kural setini sürümlemek ve geri almak
- Bitirme görevi: yavaşlayan bir sensörün kural setini hızlandır ve isabetini koru
Pratik lablar
- Yapışkan tamponla alan adı eşle: dns.query tamponunu kullanarak tek bir alan adını yakalayan kural yaz ve sına.
- Dönüşümle büyük küçük harf oyununu kapat: to_lowercase dönüşümü ekleyerek karışık harfli isteklerde de tetiklenen kural yaz.
- İkili protokolde byte_test ile eşle: Özel lab protokolünün uzunluk alanını byte_test ve byte_jump ile okuyup aşırı uzun mesajları yakalayan kural yaz.
- Veri kümesiyle gösterge listesi eşle: Bin alan adlık listeyi veri kümesi olarak yükle ve tek kuralla eşleşmeleri göster.
- Önce oturum açan sonra indiren istemci: flowbits kullanarak önce oturum açıp ardından dosya indiren istemciyi yakalayan iki kurallık zincir yaz.
- xbits ile ana makine düzeyinde ilişkilendirme: Farklı akışlardaki iki adımı xbits ile aynı ana makineye bağlayan kural çifti yaz ve süre sınırını sına.
- İlk Lua kuralını çalıştır: Hazır bir Lua betiğini kurala bağla ve eşleme işlevinin çağrıldığını kayıtla göster.
- Alan adı rastgelelik puanı: DNS sorgu adının entropisini hesaplayıp eşiği aşınca tetiklenen Lua kuralı yaz.
- Lua çıktı betiğiyle özel kayıt: Her TLS oturumu için sunucu adı ve parmak izini tek satıra yazan Lua çıktı betiği yaz ve performans etkisini ölç.
- En pahalı kuralları bul: Kural profillemeyi aç ve en çok süre harcayan beş kuralı listele.
- fast_pattern seçimini iyileştir: Yavaş bir kuralda daha ayırt edici içeriği fast_pattern yap ve profil sonucundaki farkı göster.
- Yavaşlayan sensörün kural setini hızlandır: Yakamoz Telekom lab sensörünün kural setinde üç pahalı kuralı yeniden yaz, sınama PCAP'leriyle isabetin korunduğunu kanıtla.
Kurs hakkında
Veri kümeleri, flowbits, Lua betikleri ve kural profillemeyle hem isabetli hem hızlı kurallar yazar, kural setini kalite denetiminden geçirirsin.
Ne öğreneceksin
- İleri anahtar sözcükler
- Lua ve özel mantık
- Performans ve kalite
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.