Ders 5.6: Hipoteze dayalı tehdit avı
Tespitler yalnızca birinin aklına gelmiş olanı bulur. Tehdit avı, onların arasından sızmış saldırganları, bilinen bir tekniğe (MITRE ATT&CK) dayanan bir hipotezden başlayarak, onu veriye karşı sınayarak ve bulduğun her şeyi yeni bir tespite dönüştürerek önceden aramaktır. İki basit yöntem işin çoğunu yapar: belirli bir davranışı aramak ve 'yığma' (her şeyi saymak ve en alttaki nadir ögeleri incelemek). Laboratuvarda otuz günlük süreç verisinde yerleşik Windows programlarıyla indirilen araçları avlıyor ve kimsenin işaretlemediği bir iş istasyonunu buluyorsun.
18 dk
Bu derste öğreneceklerin
- Tehdit avının ne olduğunu ve ne olmadığını açıklamak
- Sınanabilir bir av hipotezi yazmak
- Belirli bir tekniği aramak
- Nadir etkinliği bulmak için yığma kullanmak
- Bir av sonucunu bir tespite dönüştürmek
Temel terimler
- Tehdit avı
- Mevcut tespitlerin kaçırdığı kötü niyetli etkinliği önceden aramak.
- Hipotez
- Ortamındaki saldırgan davranışı hakkında sınanabilir bir ifade.
- Yığma
- Bir değerin birçok sistemdeki tekrarlarını saymak ve en nadirlerini incelemek.
- LOLBin ile indirme (T1105)
- Saldırgan dosyalarını getirmek için yerleşik araçları kullanmak.
- Zamanlanmış görev (T1053.005)
- Zararlı yazılımı girişte ya da bir zamanlayıcıyla çalıştırmak için kullanılan Windows görevi.
← Siteler arası istek sahteciliği (CSRF) · Tüm dersler · Uygulamada TLS →