ZEKASTRA

VP-04 · Ağ incelemesi

Vekil sunucu, DNS ve DHCP günlükleri: bir oltalama bağlantısına tek tıklama

Bir oltalama e-postası, satır sınırında duran bir web vekil sunucusu günlüğü, bir DNS çözümleyici günlüğü ve bir DHCP kiralama dışa aktarımı; uzlaştırılması gereken üç saat. On dört soru; dosya bütünlüğünden ve iletideki bağlantıdan, ardından gelen isteğe, o anda bir adresin arkasındaki ana makineye ve günlüklerin gösteremediklerine uzanır.

Sentetik eğitim verisi. Kuruluş, kişiler, cihazlar, seri numaraları ve zamanlar uydurmadır.

01Brifing

Linden Print Works Ltd. ambalaj baskısı yapar. 7 Nisan 2026 Salı günü, bir insan kaynakları asistanının kullandığı e.sahin@linden-print.example kutusuna "Updated leave policy: confirm your details" başlıklı bir ileti geldi. Asistan BT masasına iletideki bağlantıyı açtığını, ancak bir şey yazıp yazmadığını hatırlamadığını bildirdi. BT yöneticisi sabahın dört saati için web vekil sunucusu günlüğünü, DNS çözümleyici günlüğünü ve DHCP kiralamalarını dışa aktardı, ham iletiyi de kaydetti. Vekil sunucu dışa aktarımı satır sınırında durdu. Posta hizmetinin oturum açma günlükleri pakete dâhil değildir.

İç denetim soruyor:

  1. İletideki bağlantı gerçekte nereyi gösteriyor ve o adrese bir istek izledi mi?
  2. İstemci adresini o anda hangi ana makine kullanıyordu?
  3. Vekil sunucu günlüğü neyi gösteremez ve eksiksiz mi?

Yalnızca dosyalardan cevap verin: iletinin, günlüklerin ve kiralamaların neyi kaydettiğini ve neyi gösteremediklerini. İş istasyonunu kimin kullandığına, neyin yazıldığına ya da hesabın başka bir yerde kullanılıp kullanılmadığına karar vermeyin.

02Delil dosyaları

DosyaİçerikSHA-256
README.txtSenaryo ve dosya listesiİngilizce ve Türkçe brifing, kurallar ve paketin neleri içermediği.0c458e93630631ca05801a6cd2e41ce02f5955fc452660e9f1d41aabf4adb79d
acquisition-log.txtToplama günlüğüNeyin hangi saatle alındığı ve toplama anında kaydedilen SHA-256 değerleri.509738033717b6f55e55c6666bb762c7a04bc13554885d1dab9d13b00bfe5f45
export-metadata.txtDışa aktarım parametreleriÜç dışa aktarım için pencere, satır sınırı, dönen satır sayısı, sonraki sayfa, her sütunun zaman esası ve kapsam.b29e3081fe4e7dd20af6c50c426a63c93e9e55c3da61462bd5ca1dc812f6314c
phishing-message.emlHam iletiAsistanın açtığı iletinin başlıkları ve iki gövde bölümü: düz metin ve HTML.62caf83755da2b265f12bbbe91a3c2a946bb7b00b51c93c477a8332e8cf6d9a4
proxy-log.csvWeb vekil sunucusu erişim günlüğüYerel saatle (UTC+3) kırk satır; istemci adresi, yöntem, hedef, durum, bayt ve kategori ile. Dışa aktarım satır sınırında durdu.d5bcf623f6b7a1ee79b0af3c3e9f57e1e708b013425ca19a83979072249356b1
dns-log.csvDNS çözümleyici sorgu günlüğüÇözümleyiciye ulaşan sorgular; zamanlar UTC, ayrıca sorgu türü, yanıt ve TTL.e5ca437fcb75b94b2389426acf8b9272e06b132fd04b41a63b95c1e622bfe70b
dhcp-leases.csvDHCP kiralama dışa aktarımıDört adresin gün içindeki kiralamaları; başlangıç ve bitiş UTC, ayrıca ana makine adı.c0874d5904fed5e26045887ad63b97cbb1cd8315658ecd9929cf356fc19f7e6c
manifest.txtHash bildirimiKendisi hariç yukarıdaki her dosyanın SHA-256 değeri. Başlamadan önce doğrulayın.(bildirimin kendisi)

Yukarıdaki hash değerleri manifest.txt'den kopyalanmıştır. Bunları kendiniz yeniden hesaplayın, örneğin hash aracıyla ya da sha256sum ile.

03Başlamadan önce

  • Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
  • Kopyalar üzerinde çalışın. Bir dosyadan aldığınız her zamanın yanına zaman esasını yazın; iki kaynağı karşılaştırmadan önce UTC'ye çevirin.
  • Bir IP adresi bir ana makineyi yalnızca belirli bir anda adlandırır. O anda geçerli olan kiralama kaydını, UTC olarak kullanın.
  • Bir günlük, bir isteğin ya da sorgunun yapıldığını kaydeder. Klavyenin başında kimin olduğunu ya da neyin yazıldığını kaydetmez.

Notlarınızı tutmak için F-02 Delil kabul formu ve F-04 İnceleme günlüğükullanın.

04Sorular

Yalnızca dosyalardan cevaplayın. Her cevap bu tarayıcıda kontrol edilir ve hiçbir yere gönderilmez; cevaplarınız siz temizleyene kadar bu cihazda kalır. 14 soru, 23 puan.

  1. S011 puanproxy-log.csvmanifest.txt

    8 onaltılık karakter

  2. S021 puanphishing-message.eml

    href içinde yazıldığı gibi bir alan adı

  3. S032 puanphishing-message.eml

    phishing-message.eml dosyasının Authentication-Results satırı spf=pass, dkim=pass ve dmarc=pass kaydeder. Bu sonuçlar neyi kanıtlar?

  4. S042 puandns-log.csv

    YYYY-MM-DD HH:MM:SS, UTC

  5. S052 puandns-log.csvproxy-log.csvexport-metadata.txt

    Saniye cinsinden tam sayı

  6. S061 puandhcp-leases.csvproxy-log.csvexport-metadata.txt

    Dosyada yazıldığı gibi bir ana makine adı

  7. S072 puanphishing-message.emlproxy-log.csvexport-metadata.txt

    Saniye cinsinden tam sayı

  8. S081 puandns-log.csv

    Tam sayı

  9. S092 puandns-log.csvproxy-log.csv

    Vekil sunucu günlüğünde 192.0.2.37 adresinden linden-print-sso.example'a dört istek var, ama DNS günlüğünde iki A sorgusu var. Hangi açıklama dosyalara uyar?

  10. S102 puanproxy-log.csvexport-metadata.txt

    Vekil sunucu günlüğü, 10:31:41 yerel saatindeki CONNECT linden-print-sso.example:443 bağlantısı hakkında ne gösterir?

  11. S111 puanproxy-log.csv

    Bayt cinsinden tam sayı

  12. S122 puanproxy-log.csvdhcp-leases.csvexport-metadata.txt

    Vekil sunucu günlüğünde 192.0.2.37 adresinden saat 11:34:20 (yerel) için bir satır var (GET http://news.daily-gazette.example/world/today). Bu kimin etkinliği?

  13. S132 puanexport-metadata.txtproxy-log.csv

    proxy-log.csv, 10:00 – 14:00 (yerel) penceresi için eksiksiz mi? Doğru ifadeyi seçin.

  14. S142 puanphishing-message.emlproxy-log.csvdns-log.csvdhcp-leases.csv

    İnceleyen kişi yalnızca bu dosyalara dayanarak hangi cümleyi imzalayabilir?

Puan 0 / 23

05Bulgunuz

Son adım: üç denetim sorusunu bir bulgu olarak cevaplayan tek bir paragraf yazın. Eğitmeniniz bunu dört ölçüte göre değerlendirir:

  • Her zaman değeri kendi esasını taşır: UTC ya da farkıyla yerel saat.
  • Ana makine, o anda geçerli kiralamayla adlandırılır; rapor bir kişiyi değil ana makineyi adlandırır.
  • Rapor, günlüklerin neyi göstermediğini belirtir: iş istasyonunu kimin kullandığı, neyin yazıldığı ve vekil sunucu dışa aktarımının son satırından sonraki dönem.
  • Her iddia dosyasını ve satırını adlandırır; rapor, vekil sunucu dışa aktarımının eksik olduğunu söyler.

Bulgular nasıl ifade edilir →