Komuta kontrol trafiği avı: işaret, tünel, sızma
Düzenli işaretleri, uzun bağlantıları, DNS tünellerini ve olağan dışı veri çıkışını istatistikle avlar, bulguları kanıtla birlikte raporlarsın.
Seviye 401 · 14 ders · 12 pratik lab
Dersler
Av yaklaşımı
- Hipotez tabanlı av: soruyu doğru sormak
- Komuta kontrol kanallarının ortak davranışları
- Avlanacak veriyi hazırlamak: Zeek, akış, proxy kayıtları
- Kısa görev: üç av hipotezi yaz ve her biri için gereken veriyi belirle
İşaret ve uzun bağlantılar
- İşaret periyodu: aralık dağılımı ve sapma
- Rastgele sapma (jitter) eklenmiş işaretleri yakalamak
- Uzun süren bağlantılar ve düşük hacimli sürekli oturumlar
- Nadir hedefler: yalnızca bir iki ana makinenin konuştuğu adresler
- Kısa görev: 60 saniye artı eksi yüzde 20 ile bağlanan ana makineyi bul
Tünel ve sızma
- DNS tünelini alt alan adı uzunluğu ve entropiyle avlamak
- ICMP ve HTTP üzerinden tünellerin izleri
- Gönderilen ve alınan bayt oranıyla sızma tespiti
- Av bulgusunu kalıcı tespite dönüştürmek
- Bitirme görevi: bir haftalık kayıtlarda iki gizli komuta kanalını bul ve raporla
Pratik lablar
- Av hipotezi yaz: Verilen tehdit notundan sınanabilir tek bir av hipotezi ve gereken veri kaynağını yaz.
- Üç hipotez ve gereken veri: İşaret, tünel ve sızma için birer hipotez yaz, her birini Zeek, akış ya da proxy kaydıyla eşleştir.
- Av verisini hazırla: Zeek, akış ve proxy kayıtlarını ortak zaman dilimine ve ortak ana makine adına getirip tek sorguyla okunur kıl.
- Bağlantı aralıklarını ölç: Tek bir ana makinenin aynı hedefe kurduğu bağlantıların aralarını listele ve ortalamasını al.
- 60 saniye artı eksi yüzde 20: Hazır kayıtlarda 60 saniyelik aralıkla ve yüzde 20 sapmayla bağlanan ana makineyi bul.
- Sapmalı işareti puanla yakala: Aralık dağılımı ve veri boyutu tutarlılığından puan üret, en yüksek puanlı üç çifti gerekçesiyle sırala.
- Uzun süren bağlantıları listele: Bir saatten uzun süren dış bağlantıları süre ve bayt bilgisiyle listele.
- Yalnızca bir iki ana makinenin konuştuğu hedefler: Ağda en az ana makinenin eriştiği dış hedefleri say ve ilk yirmiyi çıkar.
- Düşük hacimli sürekli oturum: Günlerce süren ama çok az veri taşıyan oturumu bul ve meşru güncelleme trafiğinden farkını açıkla.
- Gönderilen ve alınan bayt oranı: Dışa gönderdiği veri aldığının on katını aşan ana makineleri listele.
- DNS tünelini entropiyle avla: Alt alan adı uzunluğu ve entropisine göre sorguları puanla ve tünel alan adını bul.
- İki gizli kanalı bul ve tespite dönüştür: Sedirli Hukuk Bürosu'nun bir haftalık hazır kayıtlarında iki komuta kanalını bul ve her biri için kalıcı tespit kuralı öner.
Kurs hakkında
Düzenli işaretleri, uzun bağlantıları, DNS tünellerini ve olağan dışı veri çıkışını istatistikle avlar, bulguları kanıtla birlikte raporlarsın.
Ne öğreneceksin
- Av yaklaşımı
- İşaret ve uzun bağlantılar
- Tünel ve sızma
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.