Şifreli trafiği şifresini çözmeden analiz etmek
JA3, JA4 ve JA4S parmak izleri, sertifika anormallikleri, SNI, ECH ve DoH üst verisiyle şifreli kanalların içini görmeden şüpheliyi ayırt edersin.
Seviye 401 · 14 ders · 12 pratik lab
Dersler
Parmak izleri
- JA3 ve JA3S: istemci ve sunucu el sıkışma parmak izi
- JA4 ailesi: JA4, JA4S, JA4H ve JA4X
- Kurumun normal parmak izi envanterini çıkarmak
- Parmak izlerinin sınırları: çakışma ve taklit
- Kısa görev: kayıtta yalnızca bir kez görülen istemci parmak izlerini bul
Üst veri sinyalleri
- Sertifika anormallikleri: yeni kayıtlı alan, kısa ömür, boş alanlar
- SNI ve şifreli istemci merhabası (ECH): görünürlüğün değişimi
- DNS over HTTPS kullanan istemcileri tespit etmek
- Paket boyutu ve zamanlama örüntüleriyle uygulama tanıma
- Kısa görev: kurum politikasına aykırı şifreli DNS kullanan ana makineleri listele
Uygulamada
- QUIC trafiğinde neler görünür kalır
- TLS denetimi: yararlar, riskler ve yasal sınırlar
- Şifreli trafik bulgusunu kanıt düzeyiyle raporlamak
- Bitirme görevi: şifreli trafikte gizlenen komuta kanalını yalnızca üst veriyle bul
Pratik lablar
- JA3 ve JA3S değerlerini çıkar: Kayıttaki TLS oturumlarının istemci ve sunucu parmak izlerini listele.
- Yalnızca bir kez görülen parmak izleri: İstemci parmak izlerini say ve yalnızca bir ana makinede görülenleri hedefleriyle raporla.
- Normal parmak izi envanteri çıkar: Mercanköşk Otelcilik ağının bir haftalık kaydından JA4 envanteri çıkar ve yeni haftada envanter dışı kalanları işaretle.
- Boş alanlı sertifikaları bul: Konu ya da veren alanı boş ya da varsayılan değerli sertifikaları listele.
- Kısa ömürlü ve yeni sertifikalar: Geçerlilik süresi çok kısa olan ya da son üç günde düzenlenmiş sertifikaları sunucu adlarıyla raporla.
- Parmak izi çakışmasını ayırt et: Aynı JA3 değerini taşıyan iki farklı uygulamayı sertifika, SNI ve zamanlama bilgisiyle ayırt et.
- SNI'si olmayan oturumları listele: Sunucu adı taşımayan TLS oturumlarını bul ve hedef adreslerini say.
- Şifreli DNS kullanan ana makineler: Kurum politikasına aykırı biçimde DoH ya da DoT kullanan ana makineleri kanıtıyla listele.
- ECH ile görünürlük ne kadar değişir: ECH kullanılan ve kullanılmayan iki kaydı karşılaştır, kaybolan ve hâlâ görünen alanları tabloya dök.
- QUIC'te görünür kalanları say: QUIC oturumlarından sürüm, sunucu adı ve bağlantı süresi bilgilerini çıkar.
- Paket boyutlarından uygulamayı tanı: Üç şifreli oturumun boyut ve zamanlama örüntüsünden hangisinin video, dosya yükleme ve etkileşimli oturum olduğunu belirle.
- Yalnızca üst veriyle komuta kanalını bul: Hazır kayıtta şifreyi çözmeden, parmak izi, sertifika ve zamanlama ile gizli kanalı bul ve kanıt düzeyini belirterek raporla.
Kurs hakkında
JA3, JA4 ve JA4S parmak izleri, sertifika anormallikleri, SNI, ECH ve DoH üst verisiyle şifreli kanalların içini görmeden şüpheliyi ayırt edersin.
Ne öğreneceksin
- Parmak izleri
- Üst veri sinyalleri
- Uygulamada
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.