Cyber Security Academy · Ders

Günlükleri ve Telemetriyi Kullanma

Veri kaynaklarının tamamında avcılık yapın

Günlükleri ve Telemetriyi Kullanma, CoddyKit'te ücretsiz bir Cyber Security Academy dersidir. Bu, 4 dersinin 3. dersidir. Aşağıdan dersin tamamını ücretsiz okuyabilir, sonra tarayıcıda yerleşik kod editörü ve 7/24 yapay zeka koçu ile uygulamalı olarak pratik yapabilirsin. Bu, Cyber Security Academy öğrenme yolunun bir parçasıdır ve ilerlemeniz web ve CoddyKit uygulaması arasında senkronize olur. Cyber Security Academy kursu toplamda 4 dersten oluşur.

Veri, Avcılığı Güçlendirir

Bir av, arkasındaki veriler kadar iyidir. Günlükler ve telemetri, saldırganların sistemler boyunca bıraktığı kanıt izidir.

Bu derste temel veri kaynakları ve bunlar arasında nasıl avlanacağınız ele alınır.

Uç Nokta Telemetrisi

Uç nokta verileri en zengin kaynaktır. EDR ve Sysmon gibi araçlar süreç oluşturma işlemlerini, komut satırlarını, dosya yazma işlemlerini ve kayıt defteri değişikliklerini kaydeder.

Modern saldırıların çoğu bir uç noktaya dokunduğundan, birçok av burada başlar.

Endpoint signals:
  - process creation + command line
  - parent/child process tree
  - file and registry modifications
  - module/DLL loads

Ağ Günlükleri

Ağ verileri, ana bilgisayarların nereye bağlandığını gösterir. Güvenlik duvarı günlükleri, vekil sunucu günlükleri, DNS günlükleri ve Zeek kayıtları düzenli sinyal gönderme, veri dışarı sızdırma ve yanal hareketi ortaya çıkarır.

Bunlar iletişim tarafını göstererek uç nokta verilerini tamamlar.

Kimlik Doğrulama Günlükleri

Kimlik doğrulama günlükleri, hesapların nasıl kullanıldığını ortaya çıkarır. Alışılmadık saatlerdeki, yeni konumlardan yapılan veya önce başarısız olup ardından başarılı olan oturum açma örüntülerini arayın.

Windows olay ID'leri ve dizin günlükleri burada merkezi öneme sahiptir.

Auth red flags:
  - 4625 (failed) then 4624 (success)
  - logon from new geo / new host
  - service account interactive logon

Bulut ve Hizmet Olarak Yazılım Günlükleri

Modern ortamlar bulut günlükleri oluşturur: uygulama programlama arayüzü etkinliği, kimlik oturum açmaları ve yapılandırma değişiklikleri.

Yeni erişim anahtarlarını, devre dışı bırakılmış günlük kaydını veya alışılmadık yönetim amaçlı uygulama programlama arayüzü çağrılarını arayın.

SIEM ile Merkezileştirin

Bir SIEM, her yerden günlükleri toplayarak aranabilir tek bir konuma getirir. Kaynaklar arasında avlanmak, yalnızca veriler merkezileştirildiğinde uygulanabilirdir.

Splunk, Elastic ve Sentinel yaygın platformlardır.

Normalleştirme Önemlidir

Farklı kaynaklar alanları farklı adlandırır. Normalleştirme, tek bir sorgunun birçok kaynağı kapsayabilmesi için alanları ortak bir şemaya eşler.

Normalleştirme olmadan her günlük biçimi için yeni bir sorgu yazarsınız.

src_ip, source.ip, ClientIP
  -> normalize to: source_address

Kaynaklar Arasında İlişkilendirme

Asıl güç ilişkilendirmeden gelir: bir uç nokta sürecini, aynı ana bilgisayar ve zaman için bir ağ bağlantısıyla ve bir kimlik doğrulama olayıyla ilişkilendirin.

Tek bir kaynak şüphe uyandırır; üç kaynak birlikte güçlü bir vaka oluşturur.

host=WS-04 at 02:14:
  endpoint: powershell spawned by word
  network:  outbound to 185.x.x.x:443
  auth:     admin login from WS-04
= strong lead

Boşluklara Dikkat Edin

Günlük kaydı tutmadığınız noktaları bilin. Saldırganlar kör noktalardan yararlanır: günlük kaydı tutulmayan ana bilgisayarlar, devre dışı bırakılmış komut satırı denetimi veya kısa günlük saklama süreleri.

Boşlukları belirlemek başlı başına değerli bir av sonucudur.

Saklama Süresi ve Hacim

Günlükler çok büyüktür ve depolama alanı sınırlıdır. Avlandığınızda verilerin hâlâ mevcut olması için saklama süresini maliyetle dengeleyin.

Bugün keşfedilen bir saldırı aylar önce başlamış olabilir; kısa saklama süresi saldırıyı gizler.

Bulguları Tespitlere Dönüştürün

Günlükler arasında yapılan bir av bir teknik bulduğunda, SIEM'in bir sonraki sefer bunu otomatik olarak yakalaması için tekniği bir tespit kuralı olarak kodlayın.

Elle yapılan tehdit avcılığı, otomatik savunmayı bu şekilde sürekli güçlendirir.

Hızlı Kontrol

Günlükleri ve telemetriyi anlayıp anlamadığınızı sınayın.

Özet

Günlükler ve telemetri arasında avlanmayı öğrendiniz.

Uç nokta verileri (süreç, komut satırı) en zengin kaynaktır.
Ağ, kimlik doğrulama ve bulut günlükleri bağlam ekler.
Bir SIEM verileri merkezileştirir; normalleştirme, kaynaklar arası sorguları mümkün kılar.
Güçlü ipuçları oluşturmak için kaynakları ilişkilendirin.
Günlük kaydı boşluklarına ve saklama sürelerine dikkat edin; bulguları tespitlere dönüştürün.

Sırada bulgularınızı MITRE ATT&CK ile eşleyeceksiniz.

Sıkça Sorulan Sorular

“Günlükleri ve Telemetriyi Kullanma” dersi ücretsiz mi?

Evet — “Günlükleri ve Telemetriyi Kullanma” dersin tüm metni burada web'de ücretsiz olarak okunabilir. Etkileşimli olarak pratik yapmak (yerleşik kod editörü ve 7/24 yapay zeka koçu) ve Cyber Security Academy kursunun geri kalanını açmak için CoddyKit PRO'ya yükselt. Cyber Security Academy kursu toplamda 4 dersten oluşur.

“Günlükleri ve Telemetriyi Kullanma” dersinde ne öğreneceğim?

Veri kaynaklarının tamamında avcılık yapın Cyber Security Academy ile uygulamalı kodu tarayıcıda doğrudan çalıştırarak pratik yaparsın ve 7/24 yapay zeka koçu dersi çalışırken sorularını yanıtlar.

Cyber Security Academy öğrenmeye başlamak için deneyim gerekli mi?

Önceden deneyim gerekmez. CoddyKit'te Cyber Security Academy, başlangıçtan ileri seviyeye kadar yapılandırıldığı için buradan başlayabilir veya başından başlayıp kendi hızında ilerleme yapabilirsin. Bu, 4 dersinin 3. dersidir.

“Günlükleri ve Telemetriyi Kullanma” dersi ne kadar sürer?

Çoğu CoddyKit dersi yaklaşık 5–10 dakika sürer. Her biri kısa ve etkileşimli olduğu için sabit ilerleme yaparsın ve web ile uygulama arasında tam olarak bıraktığın yerden devam edebilirsin.

Bu Cyber Security Academy dersinde kod yazıp çalıştırabilir miyim?

Evet. Her Cyber Security Academy dersi yerleşik bir kod editörü içerir, bu sayede tarayıcıda gerçek kod yazıp çalıştırabilir ve anlık yapay zeka geri bildirimi alırsın — yerel kurulum gerekli değildir.

Bu kursun tüm dersleri

← Cyber Security Academy Sayfasına Dön