tshark ile protokol analizi
HTTP, DNS ve TLS trafiğini komut satırında incelemek.
Seviye 201 · 16 ders · 15 pratik lab
Dersler
Yakalama ve süzme
- tshark ile yakalamak: Komut satırından tshark ile trafik yakalamayı ve sonucu dosyaya kaydetmeyi kendi laboratuvarında öğrenirsin.
- tshark ile yakalama süzgeci ve boyut sınırı: tshark’ta yakalamada -f süzgeciyle, görüntülemede -Y süzgeciyle fark yaratıp yakalamayı paket, süre ve dosya boyutuyla sınırlayabileceksin.
- tshark ile komut satırında görüntüleme süzgeçleri: tshark ile yakalanmış trafikte görüntüleme süzgeçlerini komut satırında kullanıp yalnızca HTTP, DNS ya da TLS gibi ilgilendiğin kısımları göstermeyi öğrenirsin.
- tshark ile iki geçişli analiz ve yeniden birleştirme: -2 ve -R
- Kısa görev: beş dakikalık DNS ve HTTP yakalamasını süzerek kaydet
Protokolleri incelemek
- tshark ile protokol hiyerarşisi istatistikleri: tshark ile bir kayıttaki protokollerin dağılımını görüp beklenmeyen ya da alışılmadık bir protokolü fark etmeyi öğrenirsin.
- tshark ile TCP akışlarını bulmak ve izlemek: tshark ile bir TCP bağlantısının tüm konuşmasını bulup baştan sona izlemeyi ve olayın akışını anlamayı öğrenirsin.
- tshark ile HTTP istek ve yanıtını yeniden kurmak: tshark ile kayıttan bir HTTP isteğini ve yanıtını yeniden kurup bir web iletişiminde tam olarak ne gönderilip alındığını görmeyi öğrenirsin.
- tshark ile TLS el sıkışma alanları: SNI, sürüm, şifre takımı
- Kısa görev: kayıttaki tüm TLS sunucu adlarını say
Alan çıkarma ve otomasyon
- tshark ile alan çıkarmak ve CSV çıktısı: tshark ile kayıttan kaynak adres, alan adı gibi belirli alanları çıkarıp CSV tablosuna dökmeyi ve sayarak analiz etmeyi öğrenirsin.
- tshark ile DNS sorgularında şüpheli alan adı avı: tshark ile DNS sorgularında şüpheli görünen alan adlarını ve olağandışı sorgu örüntülerini savunmacı gözüyle fark etmeyi öğrenirsin.
- tshark ile av akışını otomatikleştirmek: tshark ile yaptığın tekrarlayan av adımlarını betiğe dökerek her yeni kayıtta aynı kontrolleri hızla ve tutarlı yapmayı öğrenirsin.
- tshark -z ile konuşma ve zaman aralığı istatistikleri
- Kısa görev: her gün çalışacak bir tshark özet betiği hazırla
- Bitirme görevi: tshark ile şüpheli trafiği raporla: Kurgusal bir şirketin trafik kaydında tshark ile şüpheli davranışı bulup kanıtlarıyla birlikte kısa bir rapora döktüğün bir görev yaparsın.
Pratik lablar
- tshark ile süreli yakalama: tshark ile 60 saniye süren ve yalnızca DNS içeren bir yakalama al.
- DNS ve HTTP'yi süzerek kaydet: Karışık bir kayıttan yalnızca DNS ve HTTP paketlerini yeni dosyaya yaz.
- İki geçişli analizle yeniden birleştirme: Parçalı gelen yanıtları iki geçişli analizle doğru süz ve tek geçişteki eksik sonucu karşılaştır.
- Protokol hiyerarşisi istatistiği: Bir kaydın protokol hiyerarşisini çıkar ve beklenmeyen protokolü bul.
- HTTP isteğini ve yanıtını yeniden kur: Belirli bir akışın HTTP isteğini ve yanıtını komut satırında yeniden kur.
- En uzun süren TCP akışı: Kayıttaki TCP akışlarını süreye göre sırala ve en uzun olanın içeriğini özetle.
- Alanları CSV'ye çıkar: Her HTTP isteği için zaman, kaynak, ana makine ve yolu CSV dosyasına yaz.
- Konuşma istatistikleri: Kaydın konuşma istatistiklerini çıkar ve en çok bayt gönderen iç ana makineyi bul.
- Günlük özet betiği: Bir kayıt için en çok konuşanları, DNS adlarını ve TLS sunucu adlarını özetleyen betik yaz.
- TLS sunucu adlarını say: Kayıttaki tüm TLS sunucu adlarını çıkar ve en sık görüleni raporla.
- Eski TLS sürümü kullanan istemciler: El sıkışma alanlarından eski TLS sürümü öneren istemcileri listele.
- Şüpheli trafiği tshark ile raporla: Kurgusal Tarnova Lojistik kaydında yalnızca tshark ile şüpheli ana makineyi, hedefini ve zaman aralığını raporla.
- Komut satırında görüntüleme süzgeci: Bir kayıtta yalnızca hata durum kodlu HTTP yanıtlarını listele.
- Boyut sınırlı yakalama: Dosya boyutu sınırına ulaşınca duran bir yakalama ayarla ve durduğunu göster.
- Şüpheli alan adı avı: DNS sorgularını çıkar, uzunluk, etiket sayısı ve NXDOMAIN oranına göre puanla, şüpheli alan adını ve onu soran ana makineyi kanıt satırlarıyla raporla.
Kurs hakkında
HTTP, DNS ve TLS trafiğini komut satırında incelemek.
Ne öğreneceksin
- Yakalama ve süzme
- Protokolleri incelemek
- Alan çıkarma ve otomasyon
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.