Tespitten kaçma teknikleri ve protokol anormallikleri: savunma tarafı
Parçalanma, örtüşen bölütler, TTL hileleri ve protokol anormalliklerinin sensörleri nasıl yanılttığını lab’da görür, normalleştirme ve anormallik tespitiyle bu boşlukları kapatırsın.
Seviye 501 · 13 ders · 12 pratik lab
Dersler
Kaçma nasıl çalışır
- Sensör ile hedef farklı görürse: ekleme ve kaçırma
- Örtüşen IP parçaları ve yeniden birleştirme politikaları
- Örtüşen TCP bölütleri ve akış birleştirme farkları
- TTL hileleri: sensöre ulaşan ama hedefe ulaşmayan paketler
- Kısa görev: aynı yükün sensörde ve hedefte farklı birleştiğini kayıtta göster
Uygulama düzeyi
- URL ve içerik kodlama katmanları ile imzalardan kaçma
- Protokol belirsizliği: çift başlık, standart dışı port
- Kısa görev: kodlanmış bir isteğin kuralı neden atlattığını açıkla ve kuralı düzelt
Savunma
- Normalleştirme: Suricata akış ve parça ayarları
- Hedef işletim sistemine göre birleştirme politikası seçmek
- Anormallik olaylarını uyarıya dönüştürmek: decoder ve stream olayları
- Kaçma örneklerini sürekli sınama setine eklemek
- Bitirme görevi: bir sensörü bilinen kaçma tekniklerine karşı sına ve sertleştir
Pratik lablar
- Örtüşen parçaları kayıtta bul: Hazır kayıtta ofsetleri örtüşen IP parçalarını süz ve örtüşen bayt aralığını yaz.
- Aynı yük iki farklı biçimde birleşiyor: Örtüşen TCP bölütlerinin iki farklı birleştirme politikasıyla verdiği sonucu yan yana göster.
- Hedefe uygun birleştirme politikası seç: Suricata'da hedef işletim sistemine göre politika tanımla ve hazır kayıtta uyarının artık tetiklendiğini kanıtla.
- Tek oturumda değişen TTL değerleri: Aynı akışta TTL değeri belirgin biçimde farklı olan paketleri bul.
- Sensöre ulaşıp hedefe ulaşmayan paket: Sensör ve hedef tarafında alınmış iki kaydı karşılaştır, yalnızca sensörde görünen paketleri listele.
- Anormallik olaylarını uyarıya dönüştür: decoder ve stream olay kurallarını etkinleştir, hazır kayıtta hangi anormalliklerin yakalandığını raporla.
- Kodlama katmanlarını çöz: Çift URL kodlanmış bir istek satırını adım adım çöz ve asıl yolu yaz.
- Kural neden tetiklenmedi, düzelt: Kodlanmış isteğin ham içerik kuralını neden atlattığını açıkla ve normalleştirilmiş tamponla kuralı düzelt.
- Çift başlık ve standart dışı port: Çift başlıklı ve standart dışı porttaki HTTP kaydında sensörün ne gördüğünü incele, protokol tanımayı açarak eksiği kapat.
- Akış ve parça ayarlarını gözden geçir: suricata.yaml'daki akış ve parça birleştirme ayarlarını listele ve varsayılandan farklı olanları işaretle.
- Örnekleri sürekli sınama setine ekle: Üç hazır anormallik kaydını beklenen uyarılarıyla sınama setine ekle ve tek komutla çalıştır.
- Sensörü sına ve sertleştir: Kendi lab sensörünü hazır anormallik kayıtlarıyla sına, kaçan durumları ayarla kapat ve önce sonra raporu yaz.
Kurs hakkında
Parçalanma, örtüşen bölütler, TTL hileleri ve protokol anormalliklerinin sensörleri nasıl yanılttığını lab’da görür, normalleştirme ve anormallik tespitiyle bu boşlukları kapatırsın.
Ne öğreneceksin
- Kaçma nasıl çalışır
- Uygulama düzeyi
- Savunma
Ön koşullar
Aynı yolun 401 düzeyine kadar olan konularında deneyimli olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 501 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.