Bitirme görevi: bir olay klasörünü incele ve şüpheli IP’yi bul
Bir sunucudan toplanmış olay klasörünü kursta öğrendiğin araçlarla rehbersiz incelersin: kimlik doğrulama günlüğünden saldırgan adresi, ele geçirilen hesabı ve ilk başarılı giriş zamanını, kullanıcı dosyalarından kalıcılık yöntemlerini, kötü amaçlı betikten komuta sunucusunu ve betiğin parmak izini çıkarır, hepsini bir olay raporuna yazarsın. Olay her labda farklıdır.
Seviye 101 · 60 dk
Gece 02.00 sularında Kuzeyyıldızı’nın dağıtım sunucusunda olağan dışı bir trafik görüldü. Olay müdahale ekibi sunucudan ilgili dosyaları topladı ve /srv/incident/IR-2026-031 klasörüne koydu: günlükler, bir kullanıcının ev dizininden dosyalar ve zamanlanmış görevler. Deniz: "Kim girdi, nereden, ne zaman, ne bıraktı? Rapor sabah 09.00’da yönetimde olacak."
Bu bir bitirme görevi: ilk iki adım dışında komut vermiyorum. Kursta gördüğün her şeyi kullanacaksın: dosya okumak, grep, cut, sort, uniq, yönlendirme, sha256sum. Takılırsan ipucu yöntemi hatırlatır, iki yanlış denemeden sonra çözüm görünür.
Kanıtla çalışırken ilk kural: incelediğin dosyaları değiştirme. Bulgularını kendi ~/ir/ klasörüne yaz.
Bu derste ne yapacaksın
- Klasörü tanı
- Başarısız girişler kimden?
- Saldırgan ve hesap
- Ne zaman?
- Kalıcılık
- Komuta sunucusu
- Parmak izi
- Olay raporu
- Kısa sınav
Kazanacağın beceriler
- Kimlik doğrulama günlüğünden olay çıkarmak
- Günlükte en çok istek yapanları bulmak
- Kalıcılık yöntemlerini bulmak (.bashrc, cron)
- Dosya bütünlüğünü özetle doğrulamak (sha256sum -c)
- Olay raporu yazmak
- Kısa ve kesin bir bulgu yazmak
← Kısa görev: tek satırlık komutla günlük özet çıkar · Linux temelleri
Ücretsiz başla