Zeek kayıtlarıyla tehdit avı
Büyük Zeek kayıt arşivlerinde yığın sayımı, nadirlik ve ilişkilendirme teknikleriyle iz sürer, avlarını tekrar çalıştırılabilir sorgulara dönüştürürsün.
Seviye 401 · 13 ders · 12 pratik lab
Dersler
Av teknikleri
- Yığın sayımı: en az görülen değerler
- Nadir kullanıcı aracıları ve HTTP başlık sırası
- conn_state ve history ile başarısız ve yarım bağlantılar
- Kısa görev: ağda yalnızca bir ana makinenin kullandığı kullanıcı aracısını bul
Kayıtları ilişkilendirmek
- DNS yanıtını sonraki bağlantıyla eşlemek: adı olmayan bağlantılar
- Dosya özetlerinden etkilenen ana makinelere gitmek
- ssl ve x509 kayıtlarında şüpheli sertifika avı
- software.log ile ağdaki yazılım envanteri ve eski sürümler
- Kısa görev: doğrudan IP’ye yapılan dış bağlantıları listele
Ölçeklemek
- Haftalarca kaydı hızlı sorgulamak: sıkıştırma, bölme, paralel
- Av defteri: sorguları, sonuçları ve kararları belgelemek
- Avı kalıcı Zeek betiğine ve notice’a dönüştürmek
- Bitirme görevi: bir aylık Zeek arşivinde fark edilmemiş sızmayı bul
Pratik lablar
- En az görülen kullanıcı aracıları: http.log'da yığın sayımıyla en az görülen on kullanıcı aracısını listele.
- Tek ana makinenin kullandığı kullanıcı aracısı: Ağda yalnızca bir ana makinenin kullandığı kullanıcı aracısını bul ve eriştiği adresleri çıkar.
- Yarım bağlantılardan keşif izi: conn_state ve history alanlarından başarısız bağlantıları yığınla ve keşif yapan ana makineyi ayırt et.
- Doğrudan IP'ye giden dış bağlantılar: Öncesinde DNS sorgusu olmayan dış bağlantıları listele.
- Dosya özetinden etkilenen ana makinelere: Verilen dosya özetini files.log'da bul ve dosyayı alan tüm ana makineleri conn.log üzerinden çıkar.
- DNS yanıtını sonraki bağlantıyla eşle: dns.log yanıtlarını sonraki bağlantılarla eşleştirip her dış bağlantıya bir alan adı ata ve eşleşmeyenleri raporla.
- software.log'da eski sürümler: Ağda görülen yazılımları sürümleriyle listele ve desteği bitmiş olanları işaretle.
- Şüpheli sertifika avı: ssl ve x509 kayıtlarında kendinden imzalı, çok kısa ömürlü ya da adı uyuşmayan sertifikaları bul.
- Haftalarca kaydı hızlı sorgula: Dört haftalık sıkıştırılmış arşivi tarihe göre bölüp paralel sorgula ve tek sorgunun süresini ölçerek karşılaştır.
- Av defterine kayıt düş: Bir avın sorgusunu, sonucunu ve kararını tekrarlanabilir biçimde deftere yaz.
- Avı Zeek betiğine dönüştür: Doğrudan IP'ye giden bağlantı avını notice üreten kalıcı bir betiğe çevir ve kayıtla sına.
- Bir aylık arşivde fark edilmemiş sızma: Ilgıntepe Tekstil'in bir aylık hazır Zeek arşivinde fark edilmemiş sızmayı üç bağımsız kanıtla ortaya koy.
Kurs hakkında
Büyük Zeek kayıt arşivlerinde yığın sayımı, nadirlik ve ilişkilendirme teknikleriyle iz sürer, avlarını tekrar çalıştırılabilir sorgulara dönüştürürsün.
Ne öğreneceksin
- Av teknikleri
- Kayıtları ilişkilendirmek
- Ölçeklemek
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.