Zeek temelleri: trafiği kayda dönüştürmek
Zeek ile canlı trafiği ve PCAP dosyalarını yapılandırılmış kayıtlara dönüştürür, conn, dns, http, ssl ve files kayıtlarından olayı okursun.
Seviye 201 · 17 ders · 15 pratik lab
Dersler
Zeek’e giriş
- Zeek nedir: imza değil, olay odaklı ağ izleme
- Zeek’i bir PCAP üzerinde çalıştırmak: zeek -r
- Zeek kayıt biçimi: TSV ve JSON, uid ile bağlamak
- zeekctl ile canlı izleme kurulumu
- Kısa görev: bir PCAP’ten kayıt üret ve kaç bağlantı olduğunu say
Temel kayıtlar
- conn.log: süre, bayt, conn_state ve history alanları
- dns.log ile sorgu ve yanıtları izlemek
- http.log: yöntem, URI, kullanıcı aracısı, durum kodu
- ssl.log ve x509.log: sunucu adı ve sertifikalar
- files.log: aktarılan dosyalar ve özetleri
- Kısa görev: tek bir uid’yi conn, http ve files kayıtlarında takip et
Kayıtlarla çalışmak
- zeek-cut, sort ve uniq ile hızlı özet
- JSON Zeek kayıtlarını jq ile sorgulamak
- notice.log ve weird.log: Zeek’in tuhaf bulduğu şeyler
- Zeek’in hazır tespitleri: tarama, SSH kaba kuvvet, eski protokoller
- Kısa görev: en çok veri gönderen beş iç ana makineyi listele
- Bitirme görevi: Zeek kayıtlarıyla bir zararlı indirme olayını yeniden kur
Pratik lablar
- Bir PCAP'ten Zeek kayıtları üret: zeek -r ile bir kaydı işle, oluşan kayıt dosyalarını listele ve bağlantı sayısını söyle.
- TSV'den JSON çıktıya geç: Aynı kaydı JSON kayıt biçimiyle yeniden işle ve iki biçimde aynı bağlantıyı uid ile göster.
- zeekctl ile canlı izleme kur: Lab arayüzünde zeekctl ile Zeek'i dağıt, durumunu doğrula ve canlı trafikten ilk conn.log satırlarını göster.
- En uzun süren bağlantılar: conn.log'dan süreye göre ilk on bağlantıyı kaynak, hedef ve servis bilgisiyle listele.
- conn_state değerlerini yorumla: S0, REJ, SF ve RSTO durumlarını say ve her biri için bir örnek bağlantıyı açıkla.
- history alanından oturumu oku: Beş bağlantının history dizgisinden kimin başlattığını, veri akıp akmadığını ve nasıl kapandığını yaz.
- dns.log'da sorgu ve yanıtları eşle: Bir ana makinenin sorguladığı adları ve aldığı yanıt adreslerini dns.log'dan listele.
- http.log'da kullanıcı aracıları: http.log'dan kullanıcı aracılarını say ve tarayıcıya benzemeyenleri istek adresleriyle göster.
- ssl ve x509 kayıtlarını bağla: Kendinden imzalı sertifika sunan sunucuları ssl.log ve x509.log'u birleştirerek sunucu adıyla raporla.
- files.log'da aktarılan dosyalar: Aktarılan dosyaları MIME türüne göre say ve çalıştırılabilir türdekileri özetleriyle listele.
- Tek uid'yi üç kayıtta izle: Bir indirmenin uid değerini conn, http ve files kayıtlarında izleyip tek satırlık bir özet çıkar.
- İndirme olayını yeniden kur: Mavikaya Lojistik'in hazır kayıtlarından şüpheli dosyanın hangi sayfadan, hangi ana makineye, ne zaman indiğini sırala.
- zeek-cut ile hızlı özet: zeek-cut, sort ve uniq ile en çok bağlantı kurulan on hedef portu say.
- En çok veri gönderen beş iç ana makine: conn.log'daki gönderilen baytları ana makineye göre toplayıp ilk beşi listele.
- notice ve weird kayıtlarını ayıkla: notice.log ve weird.log girdilerini türe göre say, incelemeye değer üçünü gerekçesiyle seç.
Kurs hakkında
Zeek ile canlı trafiği ve PCAP dosyalarını yapılandırılmış kayıtlara dönüştürür, conn, dns, http, ssl ve files kayıtlarından olayı okursun.
Ne öğreneceksin
- Zeek’e giriş
- Temel kayıtlar
- Kayıtlarla çalışmak
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.