Mavi Takım eğitimi: 24 ders, ücretsiz ve Türkçe

Bu yolun sonunda

Yolu bitirdiğinde elinde olacak üç somut beceri ve derslerde çalışacağın konular.

01
Linux, web ve Windows kayıtlarından şüpheli olayı ayıklarsın.
02
Sigma kuralı yazar, SPL ve KQL sorgusuna çevirir, yanlış pozitifi ayarlarsın.
03
Bir olayı sınırlar, delil zincirini korur ve alınan dersleri raporlarsın.

Derslerde çalışacağın konular

Log analizi (auth.log, access.log, Windows olay günlüğü)
Sigma ile tespit kuralı yazma
Splunk SPL ve Microsoft KQL sorguları
Yanlış pozitif yönetimi ve temel çizgi
Olay müdahale ve delil zinciri
Tehdit avı ve MITRE ATT&CK
Beacon ve LOLBin tespiti
Sıkılaştırma, bölümleme ve yedek testi

Kimler için

SOC analisti olarak işe başlamak isteyenler
Sistem ve ağ yöneticiliğinden savunmaya geçenler
Olay müdahale ve tespit mühendisliğine hazırlananlar

Seviye: Orta
Dil: Türkçe
Tempo: Kendi hızında
Ücret: Ücretsiz
Önerilen hazırlık: Önce Siber Güvenlik Temelleri yolunu bitirmeni öneririz. Zorunlu değil; bu yolun dersleri onsuz da açılır.

Müfredat

6 modül, 24 ders, 171 etkinlik. Dersler sırayla açılır; her modül bir labla kapanır. Modüle dokununca derslerini, kazanımlarını ve labını görürsün.

Bu modülün sonunda
- auth.log ve access.log satırlarından kaba kuvvet ile dizin taramasını ayıklarsın.
- Get-WinEvent ile 4625 olaylarını süzer, oturum açma tipini okursun.
- Farklı saat dilimindeki damgaları UTC'ye çevirip olayları doğru sıraya dizersin.
1. auth.log: kim girdi, kim giremedi. Sıradaki ders16 dk · 50 XP
  Linux auth.log ve journald kaydından SSH kaba kuvvet denemesini, başarılı girişi ve girişten sonra kurulan kalıcılığı ayıklamayı öğren. Bu derste web01 sunucusunun gecelik kaydından kaba kuvvet denemesini, sonrasındaki başarılı girişi ve açılan arka kapı hesabını çıkaracaksın. Satırın hangi alanı kaynağı, hangisi kullanıcıyı söyler? Önce bunu oturtacağız, sonra sayıp zincire bağlayacağız.
  8 etkinlik: Terminal · Düzenli ifade · Kayıt tarama · Eşleştirme
2. access.log: web sunucusunun hafızası. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP
  Nginx ve Apache access.log satırlarından dizin taramasını, yol geçişini ve web kabuğunu ayıklamayı, awk ile saymayı ve kaydı zenginleştirmeyi öğren. Bu derste web01'in access.log kaydından dizin taramasını, yol geçişi denemesini ve web kabuğu yüklemesini ayıklayacaksın. Durum kodu tek başına yetmez. Kodu, yolu, boyutu ve hızı birlikte okuyacağız.
  7 etkinlik: Kayıt tarama · Kod çözme · Çıktı tahmini · Eşleştirme
3. Windows olay kimlikleri. Kilitli: önceki dersleri bitirince açılır16 dk · 55 XP
  Windows olay kimliklerini, oturum tiplerini ve 4625 alt durum kodlarını okumayı, Get-WinEvent ile süzmeyi ve olayları oturum zincirine bağlamayı öğren. Bu derste 4624, 4625, 4688, 4720 ve 7045 kimliklerini dc01 üzerinden okuyacak, sonra kataloğu Kerberos ve günlük temizleme olaylarıyla genişleteceksin. Numaraya ek olarak oturum açma tipini ve alt durum kodunu da okumayı öğreneceksin; tip 3 ile tip 10 aynı şey değildir.
  8 etkinlik: Terminal · Kayıt tarama · Sınıflandırma · Sıralama
4. Zaman damgası ve saat dilimi tuzakları. Kilitli: önceki dersleri bitirince açılır15 dk · 55 XP
  nginx, Windows ve epoch zaman damgalarını UTC'ye çevir. Saat dilimi ve yaz saati farklarını kontrol et. Kaydın geç gelmesi ile cihaz saatinin sapmasını ayırt et. Bu derste üç farklı kaynağın zaman damgasını tek eksene çekeceksin: nginx +0300, Windows UTC, güvenlik duvarı epoch. Zaman kayması, kayıt gecikmesi ve saat sapması arasındaki farkı ayırt edeceksin.
  8 etkinlik: Komut zinciri · Sınıflandırma · Tahmin · Sıralama
5. Lab · Log Avı. Kilitli: modülün derslerini bitirince açılır100 XP
  Gece 02:40'ta web01 ve dc01 logları büyüdü. Nöbetçi analist sana ham dosyaları bıraktı.
  Kanıt dosyalı lab · zorunlu
Ek lab: Depoda Kayan Saat. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- Sigma kuralında seçim, değiştirici ve condition satırını doğru kurarsın.
- awk, sort ve uniq zinciriyle saatlik istek temel çizgisini çıkarırsın.
- Parola püskürtmeyi görmek için sayacı kaynak başına farklı hesaba bağlarsın.
1. Sigma kural anatomisi. Kilitli: önceki dersleri bitirince açılır15 dk · 60 XP
  Sigma kuralının alanlarını, değiştiricilerini ve condition kalıplarını öğrenir, kuralı sigma-cli ile doğrulayıp SIEM sorgusuna çevirirsin. dc01'deki 7045 olayı ve certutil ile dosya indirme üzerinden iki kuralı sıfırdan kurar, alanlarını tek tek çözersin. Kuralın kalbi detection bloğudur; seçimler orada tanımlanır, condition satırı onları birleştirir.
  7 etkinlik: Terminal · Kısa yazım · Kod okuma · Sıralama
2. Yanlış pozitifin gerçek maliyeti. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP
  Yanlış pozitifin vardiyaya maliyetini hesaplar, kesinliği ölçer, kuralı geriye dönük denemeyle daraltır ve istisnaları kayıt altında yönetirsin. Bu derste bir kuralın günlük alarm yükünü analist saatine çevirecek, triyaj notu ve kural sağlık panosu kuracaksın. Yanlış pozitifin asıl bedeli harcanan dakika değil, körelen dikkattir.
  7 etkinlik: Kısa yazım · Sınıflandırma · Çıktı tahmini · Tahmin
3. Temel çizgi: normali ölçmek. Kilitli: önceki dersleri bitirince açılır13 dk · 60 XP
  Normalin sayısal fotoğrafını çıkarır; hacim, dağılım ve ilişki temel çizgilerini kabukta, Splunk'ta ve KQL'de kurup sapmayı ayırt edersin. web01'in dört haftalık access.log kaydından ve Windows giriş olaylarından saatlik, nadir değer ve hesap-makine temel çizgileri çıkaracaksın. Kabuk borusu, Splunk stats ve KQL make-series bu işin standart aletleridir.
  6 etkinlik: Komut zinciri · Kayıt tarama · Eşleştirme · Boşluk doldurma
4. Eşik ve anomali. Kilitli: önceki dersleri bitirince açılır14 dk · 55 XP
  Eşik ve anomali kurallarının farkını öğrenir; sayacı doğru eksene koyar, pencere sınırı tuzağını aşar, sapmayı z puanı ve MAD ile ölçersin. web01 ve dc01 verisinde eşiğin nerede işe yaradığını, nerede kör kaldığını parola püskürtme ve dağıtık deneme vakalarıyla göreceksin. Log akışının hangi durağında eşik uygulanacağını da seçeceksin.
  8 etkinlik: Kısa yazım · Şema okuma · Sınıflandırma · Çıktı tahmini
5. Lab · Kuralı Yaz. Kilitli: modülün derslerini bitirince açılır100 XP
  Ekip aynı saldırıyı üçüncü kez kaçırdı. SIEM'de kural yok, yalnız ham log akıyor.
  Kanıt dosyalı lab · zorunlu
Ek lab: Gürültüde Tek Gerçek. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- Sınırlamada makineyi kapatmak yerine ağdan koparmayı seçersin.
- Delilin SHA-256 özet (hash) değerini alıp zincir kaydına işlersin.
- Raporda yönetici özetini teknik bulgulardan ve eklerden ayırırsın.
1. Hazırlık: olaydan önceki iş. Kilitli: önceki dersleri bitirince açılır16 dk · 55 XP
  Olay müdahale modellerini tanır, hazırlığın somut çıktılarını kurar, log saklama süresini ölçer ve planı masa başı tatbikatla sınarsın. Kimin neye yetkisi var, kim kimi arar, kayıtlar kaç gün duruyor? Cevabı gece üçte aramazsın.
  9 etkinlik: Kısa yazım · Sınıflandırma · Tahmin · Sıralama
2. Tespit ve sınırlama. Kilitli: önceki dersleri bitirince açılır14 dk · 60 XP
  Alarmı iki bağımsız kaynakla doğrular, IOC ile kapsamı bulur, makineye dokunmadan triyaj yapar ve delili koruyan sınırlamayı seçersin. Fişi çekmek ile ağdan koparmak aynı şey değildir; biri delili siler, öteki saklar.
  7 etkinlik: Kayıt tarama · Kısa yazım · Diyalog · Çıktı tahmini
3. Kök neden ve delil zinciri. Kilitli: önceki dersleri bitirince açılır14 dk · 60 XP
  Kök nedeni süreç katmanına kadar izler, zaman damgalarını okur, delili uçuculuk sırasıyla toplar ve SHA-256 ile zincir kaydına bağlarsın. Delil zinciri kâğıt işi gibi görünür; mahkemede olayın tek belgesi odur.
  7 etkinlik: Terminal · Sınıflandırma · Sıralama · Eşleştirme
4. Raporlama ve alınan dersler. Kilitli: önceki dersleri bitirince açılır15 dk · 55 XP
  Katmanlı olay raporu kurar, kanıt düzeyini doğru dille yazar, IOC tablosu ve ATT&CK eşlemesi hazırlar, süreleri damgalardan hesaplarsın. Ders toplantısının amacı kişi bulmak değil, süreci onarmaktır.
  9 etkinlik: Kısa yazım · Sınıflandırma · Tahmin · Sıralama
5. Lab · Olayı Kapat. Kilitli: modülün derslerini bitirince açılır100 XP
  fin-pc12'den dc01'e olağandışı kimlik doğrulama gitti. Saat 11:05 ve olay açıldı. Yöneticin senden kapanış bekliyor.
  Kanıt dosyalı lab · zorunlu
Ek lab: Kırılan Zincir. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- Davranış, veri kaynağı ve yanlışlanma ölçütü taşıyan av hipotezi yazarsın.
- Olay adımlarını ATT&CK taktiklerine eşleyip boş hücreleri av listesine çevirirsin.
- certutil ve mshta kötüye kullanımını komut satırı parametresinden ayırt edersin.
1. Hipotez kurmak. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP
  Av hipotezini davranış, veri ve yanlışlanma ölçütüyle kurar, sorguyu pozitif kontrolle sınar, sonucu av defterine ve kurala çevirirsin. Tehdit avı alarm beklemez. Alarm üretmeyen saldırganı aramaktır.
  7 etkinlik: Kısa yazım · Sıralama · Eşleştirme · Boşluk doldurma
2. MITRE ATT&CK ile avlanmak. Kilitli: önceki dersleri bitirince açılır15 dk · 60 XP
  ATT&CK v19'un taktik, teknik ve tespit stratejisi zincirini okur, kurallarını Navigator katmanına eşler, boş hücreleri av listesine çevirirsin. Taktik niyeti, teknik ise yöntemi anlatır. Bu ayrımı oturtmak avın yarısıdır.
  8 etkinlik: Kısa yazım · Sınıflandırma · Çoklu seçim · Boşluk doldurma
3. Beacon tespiti. Kilitli: önceki dersleri bitirince açılır14 dk · 60 XP
  Giden bağlantılarda aralık, boyut ve sayı ölçüsüyle beacon desenini bulur, TLS zarfını ve DNS izini okur, bağlantıyı açan süreci Sysmon'la eşlersin. Komuta sunucusuna bağlanan zararlı, düzenli aralıklarla küçük istekler atar. Buna beacon denir.
  7 etkinlik: Komut zinciri · Sınıflandırma · Tahmin · Boşluk doldurma
4. Yaşayan ikililer (LOLBins). Kilitli: önceki dersleri bitirince açılır14 dk · 60 XP
  certutil, mshta ve kodlanmış PowerShell kötüye kullanımını komut satırı, ebeveyn süreç ve dizinden tanır, görünürlüğü açar, önleyici kontrolleri kurarsın. Bu programlar imzalı ve meşrudur; tespit adı değil, kullanım biçimi üzerinden kurulur.
  7 etkinlik: Düzenli ifade · Kayıt tarama · Eşleştirme · Boşluk doldurma
5. Lab · Sessiz Avcı. Kilitli: modülün derslerini bitirince açılır100 XP
  Hiçbir alarm çalmadı, ama ağ ekibi 10.20.30.44'ten düzenli giden trafik görüyor. Uyarı yok, yalnız hipotez var.
  Kanıt dosyalı lab · zorunlu
Ek lablar: Zararlı Belgenin İzi, Aynı PID, İki Süreç. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- Domain Admins üyeliğini listeleyip gerekçesiz yetkiyi bulursun.
- Kullanıcı diliminden veritabanına giden kural dışı akışı kayıtlarda yakalarsın.
- Yedeğin özetini doğrulayıp geri yüklemeyi takvimli testle sınarsın.
1. En az yetki ilkesi. Kilitli: önceki dersleri bitirince açılır14 dk · 55 XP
  Yönetici, sudo ve hizmet hesabı yetkilerini envanterle çıkarır, fazlasını LAPS ve süreli yetkiyle daraltır, grup eklemelerini kayıtta yakalarsın. Saldırganın ilk girdiği hesap ne kadar yetkiliyse, olay o kadar büyür.
  7 etkinlik: Terminal · Kayıt tarama · Kod okuma · Sınıflandırma
2. Ağ bölümleme. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP
  Ağı dilimlere ayırıp varsayılan reddet kuralı yazar, akış haritasını Zeek kaydından çıkarır ve dilim sınırındaki yanal hareketi kayıtlarda yakalarsın. Düz ağda bir makineye giren saldırgan bütün ağa girmiş sayılır.
  7 etkinlik: Düzenli ifade · Sınıflandırma · Çıktı tahmini · Eşleştirme
3. EDR ve SIEM kapsamı. Kilitli: önceki dersleri bitirince açılır13 dk · 60 XP
  EDR ve SIEM kapsamını varlık, kaynak ve teknik ekseninde ölçer, sessiz kaynağı ve sahipsiz cihazı sorguyla bulur, alarmı kontrollü testle doğrularsın. Göremediğin makinede olan olayı hiç öğrenemezsin. Kapsam, tespitten önce gelir.
  7 etkinlik: Düzenli ifade · Çıktı tahmini · Tahmin · Sıralama
4. Yedek ve kurtarma testi. Kilitli: önceki dersleri bitirince açılır14 dk · 60 XP
  3-2-1 kuralına uyan değişmez yedeği kurar, bütünlüğü sha256sum ile doğrular, yedeği hedef alan komutları yakalar ve geri dönüşü süre ölçerek sınarsın. Fidye yazılımı olaylarında kurumu kurtaran tek şey çoğu zaman yedektir.
  8 etkinlik: Terminal · Kayıt tarama · Sınıflandırma · Tahmin
5. Lab · Kapıları Kapat. Kilitli: modülün derslerini bitirince açılır100 XP
  Denetim raporu çıktı. dc01 üzerinde fazla yetkili hesaplar var, ağ düz, EDR kapsamı yarım ve yedek hiç test edilmemiş.
  Kanıt dosyalı lab · zorunlu
Ek lab: Sessiz Ajanlar. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- stats count by src_ip ile başarısız girişleri kaynağa göre sayarsın.
- Aynı sorguyu KQL'de summarize ve ago() ile yeniden yazarsın.
- Zaman ve sourcetype filtresini başa alarak yavaş sorguyu hızlandırırsın.
1. Splunk SPL temelleri. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP
  SPL ile Splunk'ta başarısız girişleri süzer, kaynağa göre sayar, zaman çizelgesine döker ve bilinen adres listesiyle zenginleştirirsin. join yerine neden stats, ham arama yerine ne zaman tstats seçildiğini de göreceksin.
  6 etkinlik: Terminal · Kayıt tarama · Eşleştirme · Boşluk doldurma
2. Microsoft KQL temelleri. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP
  KQL ile Sentinel ve Defender XDR tablolarında başarısız girişleri, parola püskürtmeyi ve Office'ten başlayan şüpheli süreçleri ararsın. summarize, project, extend, parse ve ago() ile aynı kaba kuvvet sorusunu bu kez KQL ile yanıtlayacaksın.
  5 etkinlik: Terminal · Çıktı tahmini · Eşleştirme · Çoktan seçmeli
3. Sigma kuralını sorguya çevirmek. Kilitli: önceki dersleri bitirince açılır11 dk · 55 XP
  Sigma kuralını sigma-cli ile SPL ve KQL'e çevirir, alan eşleme hatasını bulur ve kuralı EVTX kayıtları üstünde çevrimdışı sınarsın. Kuralı Git deposunda sürümleyip her değişikliği otomatik denetleyen bir tespit hattının parçalarını da göreceksin.
  5 etkinlik: Komut zinciri · Eşleştirme · Boşluk doldurma · Çoktan seçmeli
4. Performans ve yanlış pozitif ayarı. Kilitli: önceki dersleri bitirince açılır12 dk · 60 XP
  Yavaş sorguyu iş denetçisiyle ölçüp hızlandırır, kuralın eşiğini geriye dönük veriyle seçer ve istisnaları süreli bir listede tutarsın. Kuralın yaşam döngüsünü ve sağlığını izlemeyi de öğreneceksin.
  6 etkinlik: Düzenli ifade · Şema okuma · Sınıflandırma · Çıktı tahmini
5. Lab · Taslak Kural, Gece Vardiyası. Kilitli: modülün derslerini bitirince açılır100 XP
  Altay Kargo SOC'unda gece vardiyasındasın. Sabah ekibi sana iki dosya bırakmış: bir SPL sorgusunun sonuç tablosu ve üzerinde çalıştıkları taslak bir Sigma kuralı.
  Kanıt dosyalı lab · isteğe bağlı
Ek lab: Eşiğin Kaçırdığı Hesap. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.

Bilgi sınavı ve belge

Yolun dörtte üçünü bitirince sınav açılır. Geçersen numaralı belgen hesabına düzenlenir ve doğrulama sayfasında sorgulanır. İlk geçişin XP kazandırır ve lige sayılır. Belge bilgi düzeyini gösterir, akredite bir kurum diploması değildir.

ALTAYSECAkademi

BELGE NO

ALT-XXXXXXXXXX

ASM-201 · ORTA SEVİYE

AltaySec Savunma ve Olay Müdahale Temel Bilgi Belgesi

Bu belge, aşağıda adı belirtilen katılımcının program kapsamındaki Yol Bilgisi Sınavı'nı başarıyla tamamladığını onaylar.

Ad Soyad

AltaySec adına düzenlenir Doğrulanabilir

Program: ASM-201 · AltaySec Savunma ve Olay Müdahale Temel Bilgi Belgesi
Sınav: 25 soru · 40 dakika
Geçme notu: 75 / 100
Açılma şartı: Yolun dörtte üçünü bitirmek. Yerleştirme testiyle atlanan dersler sayılmaz
Deneme hakkı: 24 saatte en fazla üç
Belge: Belge numarasıyla doğrulama sayfasında sorgulanır

Sınav hesapla açılır. Sorular yolun modüllerine dengeli dağılır. Belge akredite bir kurum diploması değildir, kapsamı bu müfredattır. Belge doğrulama

Kariyer rotaları

Bu yol, kariyer haritasındaki 7 rolün önerilen rotasında yer alır. Rota, rolün izlemeni önerdiği yol sırasıdır.

Pekiştir

Yolun konularını derslerin dışında da çalıştıran sayfalar.

Sertifika hazırlık

Bu yolun derslerine dayanan uluslararası sertifika soruları

Kopya kâğıtları

Komut ve sorgu özetleri, yazdırılabilir

Saha görevleri

Tarayıcıdaki terminalde komutla çözülen görevler

Okuma listesi

Konuya giriş ve derinleşme için blog rehberleri

Uygulama modları

Öğrendiğini zaman baskısı ve gerçekçi veriyle sına

Sık sorulanlar

Mavi Takım yolu ne kadar sürer?

Derslerin toplamı 5,5 saat. Labları da çözersen yaklaşık 8,5 saat. Haftada beş saat ayırırsan yaklaşık 2 haftada biter; kendi hızında ilerlersin.

Ön koşul var mı?

Zorunlu değil. Dersler ağ, web ve Linux temellerini bildiğini varsayar; bu yüzden önce Siber Güvenlik Temelleri yolunu bitirmeni öneririz.

Ücretli mi?

Hayır. Dersler, lablar ve bilgi sınavı ücretsizdir. Belge de ücretsizdir. Kart bilgisi istenmez.

Belgeyi nasıl alırım?

Yolun dörtte üçünü bitirince ASM-201 sınavı açılır: 25 soru, 40 dakika, geçme notu 75. Sınav hesapla açılır. Yerleştirme testiyle atlanan dersler bu eşiğe sayılmaz. Geçersen numaralı belgen hesabına düzenlenir ve doğrulama sayfasında sorgulanır. İlk geçişin XP kazandırır ve lige sayılır. Belge bilgi düzeyini gösterir, akredite bir kurum diploması değildir.

Lablar nasıl çözülür?

Her modül bir labla kapanır: 5 zorunlu lab kanıt dosyası üzerinden soru-cevapla çözülür; isteğe bağlı lablar bir vakanın kanıt dosyalarını inceletir.

Mavi Takım