Zeek betikleri ve tehdit istihbaratı
Zeek betik diliyle olaylara tepki veren kendi tespitlerini yazar, istihbarat çerçevesini besler, paketlerle Zeek’i genişletirsin.
Seviye 301 · 15 ders · 12 pratik lab
Dersler
Betik diline giriş
- Olay modeli: zeek_init, connection_established, http_request
- Türler, kayıtlar, tablolar ve kümeler
- İlk Zeek betiği: belirli porta giden bağlantıları yazdırmak
- Kısa görev: her ana makinenin açtığı bağlantı sayısını sayan betik yaz
Kendi kayıt ve uyarıların
- Kendi kayıt dosyanı oluşturmak: Log::create_stream
- Özel notice üretmek ve bastırma aralığı
- SumStats ile eşik tabanlı tespit
- Kısa görev: bir dakikada 20 farklı porta dokunan ana makine için uyarı üret
İstihbarat ve paketler
- İstihbarat çerçevesi: IP, alan adı ve özet göstergeleri
- Gösterge listelerini biçimlendirmek ve güncel tutmak
- zkg ile Zeek paketleri kurmak ve denetlemek
- Dosya analiz çerçevesi: özet çıkarmak ve dosya kaydetmek
- Betiği PCAP’lerle sınamak ve sürüm denetimi
- Kısa görev: bir gösterge listesinden eşleşen bağlantıları raporla
- Bitirme görevi: kurum için üç özel Zeek tespiti yaz ve sına
Pratik lablar
- İlk betik: belirli porta giden bağlantılar: 8080 portuna kurulan her bağlantıyı yazdıran betik yaz ve bir kayıtla çalıştır.
- Ana makine başına bağlantı say: Tablo kullanarak her kaynağın açtığı bağlantı sayısını sayan ve sonunda yazdıran betik yaz.
- HTTP isteklerinden küme oluştur: http_request olayında her ana makinenin eriştiği benzersiz alan adlarını kümede topla ve en çeşitli üçünü yazdır.
- Kendi kayıt dosyanı oluştur: Log::create_stream ile üç alanlı özel bir kayıt akışı tanımla ve satır yazıldığını göster.
- Özel notice üret: Yönetim portuna dışarıdan gelen bağlantı için özel notice üreten betik yaz.
- Bastırma aralığıyla notice selini önle: Aynı ana makine için saatte bir kez üretilecek biçimde notice bastırma aralığı tanımla ve kayıtla doğrula.
- SumStats ile gözlem topla: Kaynak başına başarısız bağlantıları sayan bir SumStats gözlemi tanımla ve sonucu yazdır.
- Yirmi farklı porta dokunan ana makine: Bir dakikada 20 farklı porta bağlanan ana makine için eşik tabanlı notice üret.
- Eşiği yanlış alarm vermeyecek biçimde ayarla: Normal ve tarama içeren iki kayıtla eşik ve zaman aralığını ayarla, yanlış alarmın sıfıra indiğini göster.
- Gösterge dosyasını biçimlendir: Üç IP, iki alan adı ve bir dosya özetini istihbarat çerçevesinin beklediği sekmeli biçimde yaz.
- Göstergelerle eşleşen bağlantıları raporla: Gösterge listesini yükle ve intel.log'dan hangi ana makinenin hangi göstergeyle eşleştiğini çıkar.
- zkg paketi kur ve denetle: zkg ile bir Zeek paketi kur, betiklerini gözden geçir, PCAP ile sına ve eklediği kayıt alanlarını belgele.
Kurs hakkında
Zeek betik diliyle olaylara tepki veren kendi tespitlerini yazar, istihbarat çerçevesini besler, paketlerle Zeek’i genişletirsin.
Ne öğreneceksin
- Betik diline giriş
- Kendi kayıt ve uyarıların
- İstihbarat ve paketler
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.