Ders 3.9: Özetler, itibar ve varyantlar
Şüpheli bir dosya için en hızlı kontrol özetini bir tehdit istihbaratı akışıyla karşılaştırmaktır. Ama bir özet tek bir dosyayı tam olarak tanımlar: tek bir baytı değiştir, farklı bir özet olur. Acı Piramidi bunun nedenini açıklar: özetleri değiştirmek saldırganlar için önemsizdir, altyapılarını ve davranışlarını değiştirmek ise çok daha zordur. Laboratuvarda Can'ın tuş kaydedicisi için yapılan av, dört makineden farklı adlarla dört dosya getiriyor; yalnızca biri akışla eşleşiyor. Nedenini buluyor ve varyantları özetleriyle değil, paylaştıkları şeyle yakalıyorsun.
16 dk
Bu derste öğreneceklerin
- Dosyaları tanımlamak için özet kullanmak
- Tek bir değişen baytın özeti neden değiştirdiğini açıklamak
- Acı Piramidi'ni açıklamak
- Varyantları strings ve diff ile karşılaştırmak
- Bir özetten daha güçlü göstergelere geçmek
Temel terimler
- Dosya özeti
- Bir dosyanın tam baytlarının sabit uzunlukta parmak izi: MD5 (32 onaltılık), SHA-1 (40), SHA-256 (64).
- İtibar sorgusu
- Bir özeti, alan adını ya da IP'yi tehdit istihbaratı kaynaklarına göre kontrol etmek.
- Varyant
- Aynı zararlı yazılımın hafifçe değiştirilmiş bir derlemesi.
- Acı Piramidi
- David Bianco'nun (2013) göstergeleri, savunmacılar onları engellediğinde saldırgana ne kadar acı verdiğine göre sıralayan modeli: özetler, IP'ler, alan adları, makine ve ağ izleri, araçlar, TTP'ler.
- TTP
- Taktikler, teknikler ve prosedürler: bir saldırganın nasıl çalıştığı; MITRE ATT&CK'te kataloglandığı gibi.
← Linux dosya sistemi hiyerarşisi · Tüm dersler · IPv6: yeni nesil adresler →