Ders 5.11: Paket analizi: bir cihazın gerçekte ne yaptığını bulmak
Paket kaydının ne olduğu, tcpdump ve Wireshark'ın onu nasıl gösterdiği, kayıt ve görüntüleme filtreleri ve analistlerin binlerce paket arasından ilginç olan birkaçını nasıl bulduğu: en çok konuşanlar, DNS sorguları, zamanlama ve yükler. Laboratuvarda on dakikalık ofis trafiğini çözümlüyor, hangi makinenin en çok ve kiminle konuştuğunu buluyor, dakikada bir sorgulanan bir alan adını fark ediyor, bağlantıların tam aralıklarla geldiğini kanıtlıyor ve zararlı yazılımı ele veren isteği okuyorsun.
19 dk
Bu derste öğreneceklerin
- Paket kayıtlarını, tcpdump'ı ve Wireshark'ı açıklamak
- Bir kaydı daraltmak için filtreler kullanmak
- En çok konuşanları ve olağan dışı DNS sorgularını bulmak
- Haberleşme sinyalini (beaconing) zamanlamasından tanımak
- Bir bulguyu doğrulamak için yükleri okumak
Temel terimler
- Paket kaydı (pcap)
- Bir ağ arayüzünden geçen paketlerin başlıkları ve çoğu zaman içerikleriyle birlikte kaydı.
- tcpdump ve Wireshark
- tcpdump paketleri komut satırında yakalar ve yazdırır; Wireshark aynısını grafik bir arayüzle yapar ve yüzlerce protokolü çözer.
- Kayıt ve görüntüleme filtreleri
- Yalnızca eşleşen paketleri tutan kurallar; kayıt sırasında ya da görüntülerken.
- En çok konuşanlar
- En çok trafik gönderen ya da alan makineler; bir kayda ilk hızlı bakış.
- Haberleşme sinyali (beaconing)
- Virüslü bir makinenin komuta ve kontrol sunucusuna düzenli, otomatik olarak haber vermesi; düzenli zamanlamasından tanınır.
- Komuta ve kontrol (C2)
- Saldırganın virüslü makinelere talimat göndermek ve onlardan veri almak için kullandığı sunucu.
← Dosya ve dizin izinleri · Tüm dersler · İzin, kapsam ve angajman kuralları →