Ders 1.67: Şifreli trafikte işaretleşmeyi bulmak
Çoğu zararlı yazılım eve telefon eder: düzenli aralıklarla talimat istemek için komuta ve kontrol (C2) sunucusuna bağlanır. İçerik şifrelidir ama ritim değildir: aynı adrese, birkaç dakikada bir, gece gündüz, biraz rastgele sapmayla aynı küçük bağlantı. TLS üst verisi çoğu zaman daha fazlasını ekler: kendinden imzalı bir sertifika ya da tuhaf bir sunucu adı. Laboratuvarda fin-ws07'nin bağlantı aralıklarını ölçüyor, C2'yi Zeek'in ssl.log ve dns.log günlükleriyle doğruluyor ve olay için ele geçirilme göstergelerini yazıyorsun.
16 dk
Bu derste öğreneceklerin
- İşaretleşmeyi ve C2'yi açıklamak
- Bağlantı aralıklarını awk ile ölçmek
- TLS üst verisini (SNI, sertifika doğrulama) kullanmak
- DNS yanıtlarını bağlantılara bağlamak
- Ele geçirilme göstergelerini kaydetmek
Temel terimler
- Komuta ve kontrol (C2)
- Saldırganın ele geçirilmiş makineleri yönetmek için kullandığı sunucu ve kanal.
- İşaretleşme
- Zararlı yazılımın C2'sine düzenli olarak yoklama yapması.
- Sapma
- Daha az düzenli görünmek için aralığa eklenen rastgele değişim.
- SNI (Sunucu Adı Bildirimi)
- Bir TLS istemcisinin el sıkışmanın başında açık olarak gönderdiği sunucu adı.
- Kendinden imzalı sertifika
- Güvenilen bir otoritece verilmemiş sertifika.
- IOC (ele geçirilme göstergesi)
- Bir saldırıya işaret eden IP, alan adı ya da özet gibi gözlemlenebilir bir değer.
← Ağ cihazları: ağ kartı, switch, yönlendirici ve erişim noktası · Tüm dersler · Windows güvenlik modeli →