Ders 7.3: Kapanış: tek bir uyarıdan tam resme
Son ders kursun araçlarını tek bir makinede bir araya getiriyor. Ödeme geçidi api09 tek bir uyarı verdi: silinmiş bir dosyadan çalışan bir süreç. Onu osquery ile doğruluyor, onu sürekli geri getiren kalıcılığı buluyor, kendini yeniden indirmesini eBPF izlemesiyle izliyor, bir bellek imajı alıp özetini çıkarıyor, saldırganın komutlarını bellekten kurtararak nasıl girip root olduğunu öğreniyor, çekirdeğin temiz olduğunu denetliyor, kalıcılığı kaldırıyor, gittiğini kanıtlıyor ve olay özetini yazıyorsun.
30 dk
Bu derste öğreneceklerin
- Adım adım yardım olmadan tam bir inceleme yürütmek
- osquery, eBPF izleme ve bellek adli incelemesini birleştirmek
- Çekirdeğin güvenilirliğine bellek kanıtıyla karar vermek
- Kalıcılığı kaldırmak ve izlemeyle kanıtlamak
- Kısa ve olgusal bir olay özeti yazmak
← Kapanış: ele geçirilmiş bir sunucunun triyajı · Tüm dersler · Beyaz, siyah ve gri şapkalar: hacking'i etik yapan nedir →