Wireshark’ta dışa aktarmak
Bir kullanıcının indirdiği şüpheli programı trafikten kanıt olarak çıkarır, özetini (SHA-256) alır ve türünü doğrularsın; dosyanın nereden ve kim tarafından indirildiğini bulur, ilgili paketleri ayrı bir dosyaya, istekleri bir tabloya aktarır ve bir IOC listesi hazırlarsın. İndirilen dosya her labda farklıdır.
Seviye 101 · 50 dk
Antivirüs bir iş istasyonunda uyarı verdi, ama dosyayı silmiş. Elif soruyor: "Dosya hâlâ trafikte duruyor. Onu çıkar, özetini al, nereden geldiğini bul. Diğer bilgisayarlarda da aramak için göstergelere (IOC) ihtiyacımız var."
Wireshark yalnızca bakmak için değildir; gördüğünü dışa aktarabilirsin: HTTP ile taşınan dosyaları (Export Objects), paketlerin bir bölümünü yeni bir yakalama dosyasına (Export Specified Packets) ve paket bilgilerini tabloya (Export Packet Dissections). Çizim bu üç yolu gösteriyor.
Yakalama: ~/captures/incident-download.pcapng. Kanıtlarını ~/evidence klasöründe toplayacaksın. Dikkat: çıkardığın programı asla çalıştırma; yalnızca özetini al ve incele.
Bu derste ne yapacaksın
- Yakalamayı aç
- Dosyayı çıkar: Export Objects
- Parmak izi: SHA-256
- Dosya gerçekten ne?
- Nereden geldi?
- Kim indirdi?
- Yalnızca ilgili paketler: Export Specified Packets
- İstekler tablosu
- IOC listesi
- Kısa sınav
Kazanacağın beceriler
- HTTP ile taşınan dosyaları dışa aktarmak (Export Objects)
- Kanıt dosyasının SHA-256 özetini almak
- Dosyanın gerçek türünü sihirli baytlardan doğrulamak
- Trafikten göstergeler (IOC) çıkarmak
- Yalnızca ilgili paketleri yeni dosyaya aktarmak (Export Specified Packets)
- Paket bilgilerini CSV tablosu olarak dışa aktarmak
← Wireshark istatistikleri: hiyerarşi, konuşmalar, G/Ç · Wireshark temelleri · Wireshark ile IPv6 ve ICMPv6 trafiği →
Ücretsiz başla