Lab · Tehdit Avı

Sessiz Avcı

Hiçbir alarm çalmadı, ama ağ ekibi 10.20.30.44'ten düzenli giden trafik görüyor. Uyarı yok, yalnız hipotez var.

Ava hipotezle başla. Bağlantıların zaman aralıklarını çıkar, sapmayı ölç ve düzenli döngüyü bul. Sonra hangi yerleşik ikilinin bu trafiği taşıdığına bak ve ATT&CK tekniğiyle eşleştir.

Beacon'ı taşıyan süreci adlandırdığında flag açılır.

Makineyi kapatma. Av sırasında saldırganı ürkütmek kanıt kaybettirir.

İnceleyeceğin veriler

proxy-erisim.log32 satır

Sorular

0/5 doğru

Beacon bağlantıları kaç saniyede bir tekrarlıyor?

Beklenen biçim: saniye (sayı)

Beacon trafiğinin gittiği alan adı nedir?

Beklenen biçim: alan adı

Bağlantı aralıklarında sapma (jitter) var mı?

Beklenen biçim: evet ya da hayir

Bu trafiği taşıyan yerleşik Windows ikilisi hangisidir?

Beklenen biçim: dosya adı (exe)

Kaç farklı iç makine bu alan adına bağlanmış?

Beklenen biçim: sayı

Cevaplarını kontrol edebilmemiz için giriş yapman gerekir.