Tag Archives: dfir

Wazuh ile Uygulamalı SOC ve Purple Team Eğitim Laboratuvarı Siber güvenlik öğrenmek isteyenler için yalnızca teorik bilgi yeterli değildir. Gerçek gelişim şu üç şeyi birlikte yapınca olur: Saldırıyı anlamak Logları okumak Alarmın neden oluştuğunu analiz etmek Bu yüzden Blue Team, SOC ve Purple Team öğrenmek isteyenler için lab ortamları çok …

Açık Kaynak Ağ Trafiği İzleme ve Paket Analizi Aracı Ağ trafiğini anlamak, hem sistem yöneticileri hem geliştiriciler hem de siber güvenlik uzmanları için kritik bir ihtiyaçtır. Çünkü ağ üzerinde neler olduğunu bilmeden şu sorulara doğru cevap vermek zordur: Hangi uygulama internete çıkıyor? Hangi hedef IP’lerle iletişim kuruluyor? Hangi servisler yoğun …

VolWeb — Merkezi ve Geliştirilmiş Volatility 3 Web Arayüzü Olay müdahalesi ve dijital adli analiz süreçlerinde bellek analizi kritik bir rol oynar. Çünkü RAM üzerinde saldırganın bıraktığı birçok iz bulunabilir: Çalışan process’ler Ağ bağlantıları DLL ve modüller Komut geçmişleri Credential artefact’leri Malware izleri Injected code belirtileri Suspicious handles Registry artefact’leri …

Modern SOC ekipleri için olay yönetimi yalnızca log toplamak veya alarm görüntülemekten ibaret değildir. Gerçek bir güvenlik operasyonunda ihtiyaç şudur: Alarmı al. Olayı vaka haline getir. Analiste ata. IOC’leri zenginleştir. Kanıtları topla. Playbook’a göre ilerle. SLA’yı takip et. Sonucu raporla. Bu zincirin merkezinde güçlü bir case management ve observable analysis …

Tehditler yalnızca ağ üzerinde başlamaz. Çoğu zaman saldırının gerçek izi uç noktalarda saklıdır: Process çalışmaları Dosya sistemi değişiklikleri Registry kayıtları Kullanıcı aktiviteleri Network bağlantıları Persistence izleri Komut geçmişi Zaman çizelgesi Bu yüzden etkili bir DFIR — Digital Forensics and Incident Response sürecinde uç nokta görünürlüğü kritik öneme sahiptir. İşte bu …

Bir güvenlik olayını araştırırken çoğu zaman alarm tek başına yeterli olmaz. Asıl sorular şunlardır: Bu bağlantı gerçekten ne zaman başladı? Hangi IP ile konuştu? Hangi domain sorgulandı? TLS oturumu nasıldı? HTTP isteği neydi? Paket seviyesinde ne oldu? Firewall, IDS, EDR veya SIEM alarmı size olayın başladığını söyleyebilir. Ancak olayın ağ …