Adli bilişim, olay müdahalesi ve zararlı yazılım

32 kurs, 489 ders. Tarayıcıda gerçek Kali Linux labı.

Adli bilişim ve olay müdahalesine giriş (Seviye 101, 17 ders): Bir dijital olayda neyin delil olduğunu, delilin nasıl bozulmadan toplanıp özetle doğrulandığını ve bir DFIR analistinin gününün nasıl geçtiğini öğrenirsin.
Dosyalar ve üst veri: dosyanın anlattıkları (Seviye 101, 14 ders): Uzantıya değil içeriğe bakarak dosyayı tanır, üst veriden yazarı ve zamanı okur, dosyaların içine saklanmış veriyi basit araçlarla fark edersin.
Adli bilişim alıştırmaları: ilk bulmacalar (Seviye 101, 12 ders): Kısa, rehbersiz bulmacalarla dosya tanıma, özet, üst veri ve kayıt okuma becerilerini pekiştirir, her bayrağı nasıl bulduğunu not edersin.
Adli bilişimin temelleri: dd, Foremost, ExifTool (Seviye 201, 17 ders): Delil toplama, zaman çizelgesi ve disk incelemesi.
Delil edinimi: disk, canlı sistem ve uzaktan toplama (Seviye 201, 15 ders): Disk imajını ham ve E01 biçiminde alır, canlı sistemden uçucu veriyi doğru sırayla toplar, uzaktaki bir sunucudan ağ üzerinden güvenle delil çekersin.
Dosya sistemleri adli incelemesi: FAT, NTFS ve ext4 (Seviye 201, 17 ders): Bölüm tablolarını okur, FAT, NTFS ve ext4’ün veriyi nasıl sakladığını ve sildiğini öğrenir, silinmiş dosyaları ve boşluk alanındaki kalıntıları bulursun.
Linux adli izleri: kayıtlar, geçmiş ve kalıcılık (Seviye 201, 16 ders): Ele geçirilmiş bir Linux sunucuda oturum açma kayıtlarını, kabuk geçmişini, zamanlanmış görevleri, servisleri ve SSH anahtarlarını inceleyerek saldırganın ne yaptığını ortaya çıkarırsın.
Windows adli izleri: kullanıcı ne yaptı (Seviye 201, 18 ders): Prefetch, LNK, atlama listeleri, shellbag, Amcache ve USB geçmişinden bir Windows kullanıcısının hangi programı ne zaman çalıştırdığını, hangi dosyayı açtığını ve hangi aygıtı taktığını çıkarırsın.
Kayıt analizi: syslog’dan web kayıtlarına (Seviye 201, 18 ders): Sistem, kimlik doğrulama ve web sunucusu kayıtlarını grep, awk ve jq ile süzer, farklı kaynakları tek bir saat düzeninde birleştirir ve basit SIEM sorgularıyla saldırı izini sürersin.
Tarayıcı ve e-posta adli incelemesi (Seviye 201, 15 ders): Tarayıcı geçmişini, indirmeleri ve çerezleri SQLite veritabanlarından okur, e-posta başlıklarıyla bir oltalama iletisinin gerçek kaynağını ve kullanıcının tıklayıp tıklamadığını ortaya çıkarırsın.
Bellek adli bilişimi: avml ve Volatility (Seviye 301, 16 ders): Bellek dökümü almak ve Volatility ile incelemek.
Zararlı yazılım analizinin temelleri: strings, strace, ltrace (Seviye 301, 18 ders): Statik ve davranışsal analiz.
Olay müdahalesi: hazırlıktan ders çıkarmaya (Seviye 301, 20 ders): NIST SP 800-61 yaklaşımıyla olayı tespit eder, sınırlar, temizler ve kurtarırsın; kanıt zincirini, iletişimi ve ders çıkarmayı yönetirsin.
Zaman çizelgesi analizi: mactime’dan süper zaman çizelgesine (Seviye 301, 16 ders): Dosya sistemi zamanlarını mactime ile, yüzlerce iz kaynağını plaso ile tek bir çizelgede birleştirir, milyonlarca satırı süzerek olayın dakikalarını ortaya çıkarırsın.
Windows kayıt defteri adli incelemesi (Seviye 301, 16 ders): Kayıt defteri hive’larını imajdan çıkarır, RegRipper ve kayıt defteri görüntüleyicileriyle kullanıcı etkinliğini, kurulu yazılımları, ağ geçmişini ve kalıcılık anahtarlarını incelersin.
Windows olay günlükleri ile iz sürmek (Seviye 301, 19 ders): Security, System, PowerShell ve Sysmon günlüklerinde oturum açmaları, süreç başlatmaları ve yanal hareketi okur, EVTX dosyalarını Chainsaw ve Hayabusa ile Sigma kurallarına göre tararsın.
The Sleuth Kit ve Autopsy ile disk incelemesi (Seviye 301, 16 ders): The Sleuth Kit komutlarıyla bir imajı katman katman inceler, aynı vakayı Autopsy’de açıp anahtar sözcük araması, özet kümeleri ve etiketlerle raporlanabilir bulgulara dönüştürürsün.
Volatility 3 ile Windows bellek analizi (Seviye 301, 18 ders): Windows bellek dökümlerinde süreçleri, komut satırlarını, yüklü DLL’leri, tanıtıcıları, ağ bağlantılarını ve bellekteki kayıt defterini Volatility 3 ile inceler, şüpheli süreci kanıtlarıyla ayırırsın.
Belge ve betik ön incelemesi: makrolar, PDF’ler, PowerShell (Seviye 301, 17 ders): Şüpheli Office belgelerini oletools ile, PDF’leri pdfid ve pdf-parser ile açmadan inceler, gizlenmiş JavaScript, VBScript ve PowerShell komutlarını güvenli lab’da çözerek göstergeleri çıkarırsın.
Müdahale planları ve masa başı tatbikatlar (Seviye 301, 15 ders): Oltalama, fidye yazılımı ve hesap ele geçirme için adım adım müdahale planları yazar, bunları masa başı tatbikatlarla sınar ve ekibin hazırlığını ölçülebilir göstergelerle takip edersin.
Adli bilişim alıştırma arenası (Seviye 301, 15 ders): Disk, bellek, kayıt ve belge delillerini harmanlayan rehbersiz görevlerde hızını ve doğruluğunu sınar, her çözümü kısa bir bulgu notuyla belgelersin.
İleri bellek analizi: enjeksiyon, gizlenme ve Linux bellekleri (Seviye 401, 14 ders): Kod enjeksiyonunu, süreç boşaltmayı ve gizlenmiş süreçleri bellekte yakalar, Linux dökümlerinde Volatility ile derinleşir ve YARA kurallarıyla belleği tararsın.
Yalıtılmış ortamda dinamik ön inceleme (Seviye 401, 14 ders): İnternetten yalıtılmış bir analiz ortamı kurar, sahte ağ servisleriyle şüpheli örneğin davranışını gözlemler, süreç, dosya ve ağ etkinliğini kaydedip savunmaya yarayan göstergelere dönüştürürsün.
Fidye yazılımı olayına müdahale (Seviye 401, 13 ders): Şifreleme başladığı anda yayılmayı durdurur, ilk giriş noktasını ve veri çıkarılıp çıkarılmadığını delillerle belirler, yedeklerden güvenle geri döner ve yönetime karar seçeneklerini sunarsın.
Filo genelinde canlı müdahale: Velociraptor ve osquery (Seviye 401, 13 ders): Yüzlerce uç noktada aynı soruyu aynı anda sorar, Velociraptor ile hedefli delil toplar, osquery ile sistem durumunu sorgular ve bulguları merkezde birleştirirsin.
Uç noktalarda tehdit avı: Sysmon ve auditd (Seviye 401, 15 ders): Bir hipotezden yola çıkarak Windows’ta Sysmon, Linux’ta auditd verisinde henüz uyarı vermemiş saldırgan izlerini arar, bulguları kalıcı tespit kurallarına dönüştürürsün.
Vaka dosyası: Orchard Clinic’te hasta verisine erişim (Seviye 401, 13 ders): Kurgusal Orchard Clinic’te bir resepsiyon bilgisayarındaki tuhaflıktan başlayıp hasta verisine erişilen sunucuya kadar delilleri takip eder, olayın kapsamını ve bildirim yükümlülüğünü belirlersin.
Vaka dosyası: Tidewater Savings’te içeriden işlem (Seviye 401, 12 ders): Kurgusal Tidewater Savings’te şüpheli para transferlerinin arkasındaki çalışanı ve yöntemi; iş istasyonu, e-posta, uygulama kayıtları ve fiziksel erişim verileriyle, hukuka ve kişisel haklara uygun biçimde ortaya koyarsın.
Delil karartmayı tespit etmek (Seviye 501, 12 ders): Zaman damgası oynanmış dosyaları, silinmiş ya da kurcalanmış günlükleri, güvenli silme ve gizlenmiş verinin izlerini yakalar, “iz yok” görünen bir sistemde bile ne olduğunu kanıtlarsın.
Bellekte rootkit avı (Seviye 501, 12 ders): Çekirdek düzeyinde saklanan kodu SSDT, IDT, geri çağırma ve modül listelerindeki tutarsızlıklardan yakalar, Linux’ta yüklenebilir çekirdek modülü rootkit’lerini bellek dökümünden tespit edersin.
Büyük olayı yönetmek: olay komutanlığı (Seviye 501, 13 ders): Birden çok ekibin aynı anda çalıştığı büyük bir olayda komutayı üstlenir, karar kaydı tutar, hukuk, düzenleyici kurum, müşteri ve basınla iletişimi yönetir, ekibi tükenmeden olayı kapatırsın.
DFIR analisti bitirme projesi (Seviye 501, 13 ders): Bir DFIR analisti olarak tek bir uyarıdan başlar; edinim, disk, bellek, günlük ve ağ incelemesi, sınırlama önerileri ve mahkemeye sunulabilir raporla vakayı baştan sona kendin yürütürsün.

Projeler

Teslim alınan USB imajını doğrula ve delil zincirini başlat: Sedirli Hukuk Bürosu’na teslim edilen bir USB bellek imajının özet değerlerini doğrular, çalışma kopyası çıkarır ve delil zinciri formunu eksiksiz doldurursun.
Sızan fotoğrafların üstverisinden kaynağı daralt: Gelincik Okulları’nda izinsiz paylaşılan bir dizi fotoğraf ve belgenin üstverisini ExifTool ile okur, hangi cihazla ve ne zaman üretildiklerini bir bulgu notunda açıklarsın.
USB imajından silinen tasarım dosyalarını kurtar: Karaçam Mobilya’dan ayrılan bir çalışanın teslim ettiği USB belleğin imajında dosya sistemini inceler, silinmiş tasarım dosyalarını kurtarır ve neyin ne zaman silindiğini raporlarsın.
Linux sunucusunda izinsiz girişin izlerini sür: Kuzeyyıldızı Kargo’nun takip sunucusundan alınmış hazır delil paketinde giriş kayıtlarını, komut geçmişini, zamanlanmış görevleri ve SSH anahtarlarını inceler, olanları sırasıyla anlatan bir özet yazarsın.
Windows dizüstünde kullanıcının ne yaptığını ortaya çıkar: Yelkovan Bankası’nda incelemeye alınan bir dizüstünün hazır imajında son açılan dosyaları, çalıştırılan programları ve takılan USB aygıtlarını bulur, kullanıcının o günkü etkinliğini bir raporda sıralarsın.
Oltalama tıklamasını posta kutusu ve tarayıcıdan izle: Lavinya Klinikleri’nde bir çalışanın posta kutusu dışa aktarımını ve tarayıcı geçmişi veritabanını inceler, oltalama iletisinden indirilen dosyaya kadar olan zinciri zaman damgalarıyla gösterirsin.
Çalışan sunucudan delili doğru sırayla topla: Ayçiçeği Gıda’nın şüpheli davranan sipariş sunucusundan uçuculuk sırasına uyarak bellek, süreç, ağ ve disk delillerini toplar, her parçayı özetleyip bir toplama günlüğüyle teslim edersin.
Olay müdahalesi ve zararlı yazılım ön incelemesi: Şüpheli bir sistemde olay müdahalesini yürütür, bir zararlı yazılım örneğini izole ortamda ön incelemeden geçirir ve bulguları bir olay raporunda toplarsın.
Sürekli geri gelen süreci temizle: Silindikçe geri gelen şüpheli bir süreci kaynağını bularak kalıcı biçimde temizler ve yeniden başlatmadan sonra da dönmediğini gösterirsin.
Kurcalanmış yedekten servisi kurtar: Kurcalandığından şüphelenilen bir yedeği doğrular, güvenilir bir kopyadan servisi geri getirir ve sistemin temiz çalıştığını kanıtlarsın.
Bellek dökümünde şüpheli süreci bul (Volatility 3): Mavikaya Lojistik’te bir muhasebe bilgisayarından alınmış hazır bellek dökümünde süreç ağacını, komut satırlarını ve ağ bağlantılarını Volatility 3 ile inceler, şüpheli süreci kanıtlarıyla raporlarsın.
Uzak masaüstü girişini olay günlükleri ve kayıt defteriyle çöz: Saklıvadi Üniversitesi’nin bir sunucusundan alınmış hazır delillerde oturum açma olaylarını, yeni servis kayıtlarını ve kayıt defteri izlerini birleştirir, ilk girişten son etkinliğe kadar tek bir zaman çizelgesi çıkarırsın.
Şüpheli fatura belgesini çalıştırmadan incele: Ayçiçeği Gıda’nın muhasebesine gelen şüpheli bir fatura belgesinin etkisiz eğitim örneğinde makroyu çalıştırmadan çıkarır, ne yapmaya çalıştığını açıklar ve engelleme için gösterge listesi hazırlarsın.
Fidye yazılımı olayının kapsamını çıkar, kurtarma sırasını belirle: Ilgıntepe Tekstil’de yaşanmış bir fidye yazılımı olayının hazır delillerinden ilk giriş noktasını ve etkilenen sistemleri belirler, yedeklerin temizliğini doğrular ve yönetime bir kurtarma sırası önerirsin.
Bir olaydaki göstergeleri tüm uç noktalarda ara: Yakamoz Telekom’da bir sunucuda bulunan göstergeleri Velociraptor ve osquery ile beş makinede birden arar, etkilenenleri ayırır ve her biri için toplanan delilleri bir tarama raporunda sunarsın.
Etkisiz örneği yalıtılmış ortamda gözle, davranış raporu yaz: Göktaşı Yazılım’ın olay ekibi için etkisiz bir eğitim örneğini dış ağa kapalı kum havuzunda çalıştırır, dosya, süreç ve ağ davranışını kaydeder ve savunma ekibinin kullanacağı gösterge ve tespit önerilerini raporlarsın.
İz silme girişimlerini ortaya çıkar: zaman damgası ve günlükler: Lodoskaya Denizcilik’in bir sunucusundan alınmış hazır imajda tutarsız zaman damgalarını, günlük boşluklarını ve silinmiş kayıt izlerini bulur, delilin hangi bölümlerine güvenilebileceğini gerekçeleriyle raporlarsın.
Büyük olayı yönet: karar günlüğü ve durum raporları: Demirsu Enerji’de saat saat gelişen hazır bir olay senaryosunda olay komutanı olarak görev dağıtır, kararlarını bir günlüğe işler ve yönetim ile düzenleyici kurum için durum raporlarını yazarsın.