Ders 5.11: Tehdit istihbaratıyla çalışmak
Tehdit istihbaratı, diğer savunmacıların deneyiminin kullanılabilir bir biçimidir: CERT'lerin, sektör gruplarının (ISAC'ler) ve üreticilerin, çoğu zaman STIX biçiminde ve Trafik Işığı Protokolü (TLP) paylaşım kurallarıyla paylaştığı raporlar, göstergeler ve teknikler. İyi kullanıldığında sana neyi engelleyeceğini, neyi avlayacağını ve kime söyleyebileceğini söyler. Laboratuvarda bir sektör CERT'inden bir STIX paketi alıyor, paylaşım kısıtını okuyor, hâlâ geçerli olan göstergeleri çıkarıyor, DNS günlüklerini onlarla tarıyor ve rapordaki bir alan adıyla zaten bağlantı kurmuş bir makineyi buluyorsun.
17 dk
Bu derste öğreneceklerin
- Tehdit istihbaratının kaynaklarını ve düzeylerini açıklamak
- Bir STIX 2.1 paketini okumak
- TLP paylaşım kurallarını uygulamak
- Geçerli göstergeleri çıkarmak
- Günlükleri göstergelerle taramak ve eşleşmelerde harekete geçmek
Temel terimler
- Tehdit istihbaratı
- Kararlara yardımcı olan, tehditler hakkında kanıta dayalı bilgi: stratejik (eğilimler, yöneticiler için), operasyonel (kampanyalar), taktik (TTP'ler ve göstergeler).
- STIX / TAXII
- STIX: istihbarat nesneleri (gösterge, zararlı yazılım, saldırı örüntüsü, rapor…) için bir JSON dili. TAXII: onu değiş tokuş etme protokolü.
- TLP 2.0
- Trafik Işığı Protokolü; FIRST'ün bilginin ne kadar paylaşılabileceğine dair etiketleri: CLEAR, GREEN, AMBER, AMBER+STRICT, RED.
- ISAC / CERT
- (Sektöre göre) Bilgi Paylaşım ve Analiz Merkezleri ve ulusal ya da sektörel Bilgisayar Olaylarına Müdahale Ekipleri.
- Gösterge geçerliliği
- Bir göstergenin güvenilir sayıldığı pencere (valid_from / valid_until).
← Sunucu taraflı istek sahteciliği (SSRF) · Tüm dersler · Koddaki kriptografik hatalar →