Ders 4.9: Zeek bağlantı günlükleri
Zeek ağ trafiğini izler ve bağlantı başına bir satır yazar: kim kiminle, hangi kapı ve protokolde, ne kadar süre, her yönde kaç bayt konuştu ve bağlantı nasıl bitti. Bu, tek bir paketin içeriğine bakmadan veri hırsızlığını, uzaktan denetim oturumlarını, tuhaf kapıları ve iç taramayı bulmaya yeter. Laboratuvarda Northwind'in ağ algılayıcısından bir gecelik conn.log'u okuyor ve dışarı çıkan 20 GB'ı, bir saldırgan sunucusuna sekiz saatlik bir oturumu, klasik bir saldırı aracı kapısındaki bir bağlantıyı ve dosya paylaşımı için 120 iç makineyi yoklayan bir makineyi buluyorsun.
17 dk
Bu derste öğreneceklerin
- Zeek'in neyi kaydettiğini açıklamak
- conn.log alanlarını okumak
- Büyük giden aktarımları bulmak
- Uzun ömürlü ve olağan dışı kapılı bağlantıları bulmak
- Bağlantı durumlarından iç taramayı tanımak
Temel terimler
- Zeek
- Trafiği yapılandırılmış günlüklere dönüştüren açık kaynaklı bir ağ izleyicisi: conn.log, dns.log, http.log, ssl.log, files.log ve diğerleri.
- conn_state
- Bir TCP bağlantısının nasıl gittiği: SF normal, S0 yanıt yok, REJ reddedildi, RSTO/RSTR sıfırlandı ve diğerleri.
- Veri sızdırma
- Veriyi izinsiz olarak kuruluşun dışına taşımak.
- Yanal hareket
- Bir saldırganın bir iç makineden diğerlerine yayılması.
- Çıkış süzme
- Giden trafiğe yalnızca gerekli hedeflere ve kapılara izin vermek.
← Siteler arası betik çalıştırma (XSS) · Tüm dersler · Açık anahtarlı kriptografi ve SSH anahtarları →