Vekil sunucu, DNS ve DHCP günlükleri: bir oltalama bağlantısına tek tıklama

01Oturum planı

Malzemeler: her katılımcının bilgisayarında paket dosyaları, paket sayfasından yazdırılmış bir çalışma kâğıdı ve bir inceleme günlüğü formu. Paket sayfası →

02Cevap anahtarı

1. S011 puan

   proxy-log.csv dosyasının bir kopyası üzerinde SHA-256 değerini hesaplayın, manifest.txt ile karşılaştırın ve ilk sekiz onaltılık karakteri girin.

   Cevapd5bcf623

   Ön ek, proxy-log.csv için manifest satırıyla eşleşir. Bütünlük, dosya okunmadan önce kontrol edilir; böylece sonraki her bulgu, incelenen baytlara bağlanabilir.

   Nerede

   manifest.txt, proxy-log.csv satırı; sha256sum ya da başka bir SHA-256 aracıyla yeniden hesaplayın.

   Olağan hata

   CSV dosyasını bir elektronik tablo uygulamasında açıp kaydetmek; bu, baytları yeniden yazar ve hash'i değiştirir.

   Hash hesaplayıcıF-04 İnceleme günlüğüSOP-02 Delil kabul ve kayıt

2. S021 puan

   phishing-message.eml dosyasının HTML bölümünü okuyun. Bağlantı gerçekte hangi alan adını gösterir (href); bağlantı metni olarak yazılan alan adını değil?

   Cevaplinden-print-sso.example

   Bağlantı metni, şirketin kendi alan adı içinde bir ad olan https://hr.linden-print.example/leave-policy yazar. href ise linden-print-sso.example adresini gösterir; düz metin bölümü de aynı adresi verir. Adresin sonundaki id=7f3a değeri, iletiyi vekil sunucu günlüğündeki ilk istekle bağlar.

   Nerede

   phishing-message.eml, text/html ve text/plain bölümleri; proxy-log.csv, 10:31:06 satırı.

   Olağan hata

   Bağlantının gösterdiği metne güvenmek ya da yalnızca düz metin bölümünü okuyup HTML bölümüyle hiç karşılaştırmamak.

3. S032 puan

   phishing-message.eml dosyasının Authentication-Results satırı spf=pass, dkim=pass ve dmarc=pass kaydeder. Bu sonuçlar neyi kanıtlar?

   CevapB — Her denetimin, göndericinin kendi alan adı olan linden-hr-notice.example için geçtiğini. Bu alan adını yöneten tarafın iletiyi gönderdiğini gösterirler; iletinin meşru olduğunu ya da Linden'den geldiğini göstermezler.

   RFC 8601, Authentication-Results alanını adı geçen hizmetin yaptığı denetimlerin kaydı olarak tanımlar; burada bu hizmet mx.linden-print.example'dır. SPF alan adı, DKIM alan adı ve From alan adı linden-hr-notice.example olduğundan denetimler birbiriyle uyumludur. Bu, o alan adı hakkında bir beyandır. Bir şirketinkine benzeyen bir ad kaydedip doğru yapılandıran herkes üç başarılı sonuç alır.

   Nerede

   phishing-message.eml, Authentication-Results satırı ve From satırı.

   Olağan hata

   "Pass" sonucunu güven işareti saymak. VP-03'te aynı satır başarısız bir sonuç kaydediyordu; burada başarılı sonuçlar kaydediyor ve ikisi de iletiyi kimin yazdığını söylemiyor.

4. S042 puan

   dns-log.csv dosyasında 192.0.2.37 adresi linden-print-sso.example için ilk kez ne zaman bir A kaydı sordu (UTC)? YYYY-MM-DD HH:MM:SS biçiminde girin.

   Cevap2026-04-07 07:31:05

   time_utc sütunu UTC'dir. Sorgu, vekil sunucu günlüğünde aynı ad için görülen ilk isteğin (10:31:06, yerel saat) bir saniye öncesindedir. Bir istemci, bir adla bağlantı kurmadan önce o adı çözmek zorundadır.

   Nerede

   dns-log.csv, 192.0.2.37 adresinin linden-print-sso.example için ilk A satırı.

   Olağan hata

   Alan adı için ilk vekil sunucu satırını, 10:31:06'yı, ilk temas saymak. Bu yerel saattir ve arama bundan önce yapılmıştır.

5. S052 puan

   Bu DNS sorgusu ile proxy-log.csv dosyasındaki aynı alan adına ilk istek arasında kaç saniye geçti? Tam sayı girin.

   Cevap1

   export-metadata.txt, time_local değerinin UTC+3 olduğunu belirtir. İlk istek, yerel 10:31:06, 07:31:06 UTC'dir. Sorgu 07:31:05 UTC'dedir. Fark bir saniyedir. Çevirmeden çıkarılırsa iki değer 10.801 saniye, yani üç saat ve bir saniye farklı çıkar.

   Nerede

   proxy-log.csv, 10:31:06 satırı; dns-log.csv, 07:31:05 sorgusu; export-metadata.txt, time_local satırı.

   Olağan hata

   Yerel istek zamanından UTC sorgu zamanını çıkarmak; bu, yaklaşık üç saatlik bir fark verir.

   Yerel saatten UTC'ye

6. S061 puan

   dhcp-leases.csv dosyasına göre, 192.0.2.37 adresi o ilk istek anında hangi ana makine adındaydı?

   CevapLPW-HR02

   İlk istek 07:31:06 UTC'dedir. Bu an, LPW-HR02'nin 06:30:04 – 08:30:30 UTC kiralamasının içindedir. Aynı adres, o sabah daha erken LPW-OPS07'ye, daha sonra LPW-FIN04'e kiralanmıştı.

   Nerede

   dhcp-leases.csv, 192.0.2.37 için üç satır; proxy-log.csv, 10:31:06 satırı.

   Olağan hata

   Yerel vekil sunucu zamanını, 10:31:06'yı, UTC kiralama zamanlarıyla eşleştirmek. Bu, LPW-FIN04'ün kiralamasına denk gelir ve yanlış ana makineyi gösterir.

7. S072 puan

   İletinin posta kutusu sunucusuna ulaşması (phishing-message.eml dosyasındaki en üst Received satırı) ile vekil sunucu günlüğündeki ilk istek arasında kaç saniye geçti? Tam sayı girin.

   Cevap1103

   En üst Received satırı +0300 ile 10:12:43 yazar; bu, 07:12:43 UTC'dir. İlk istek 07:31:06 UTC'dedir. Fark 18 dakika 23 saniyedir; yani 1.103 saniye. Çıkarmadan önce iki zaman da UTC'ye çevrilmelidir.

   Nerede

   phishing-message.eml, ilk Received satırı; proxy-log.csv, 10:31:06 satırı.

   Olağan hata

   Teslim satırı yerine göndericinin yazdığı Date başlığını kullanmak ya da +0300 içeren bir değeri çevrilmiş bir değerden çıkarmak.

8. S081 puan

   dns-log.csv dosyası, 192.0.2.37 adresinden linden-print-sso.example için kaç A sorgusu içerir? Tam sayı girin.

   Cevap2

   İki A sorgusu vardır: 07:31:05 ve 07:52:15 UTC. İki AAAA satırı başka bir sorgu türüdür ve adres içermeyen bir yanıtla sonuçlanmıştır. Bu ad için satırlar birlikte dörttür, ancak burada yalnızca A satırları sorulmaktadır.

   Nerede

   dns-log.csv, qtype değeri A, sorgusu linden-print-sso.example ve istemcisi 192.0.2.37 olan satırlar.

   Olağan hata

   AAAA satırlarını da saymak ya da dört vekil sunucu satırını saymak.

9. S092 puan

   Vekil sunucu günlüğünde 192.0.2.37 adresinden linden-print-sso.example'a dört istek var, ama DNS günlüğünde iki A sorgusu var. Hangi açıklama dosyalara uyar?

   CevapD — Yanıtın TTL değeri 300 saniyedir. İlk üç istek, 07:31:06 – 07:31:41 UTC, bu sürenin içindedir; bu yüzden çözümleyiciye yeni bir sorgu ulaşmamıştır. Dördüncü istek, 07:52:16 UTC, yanıtın süresi dolduktan sonra gelmiştir ve 07:52:15'teki yeni bir sorguyu izler.

   ttl sütunu bu ad için 300 değerini taşır. 07:31:05'te verilen ilk yanıt 07:36:05'e kadar geçerlidir. export-metadata.txt, geçerli bir yanıtı olan istemcinin yeni sorgu göndermediğini söyler. Bu nedenle sorgu sayısı isteklerden az görünür. Sorgu sayısı bağlantı sayısı değildir.

   Nerede

   dns-log.csv, ttl sütunu ve bu ad için dört satır; proxy-log.csv, bu ad için dört satır; export-metadata.txt, DNS dışa aktarımının kapsamı.

   Olağan hata

   Her istek için bir DNS sorgusu beklemek.

10. S102 puan

    Vekil sunucu günlüğü, 10:31:41 yerel saatindeki CONNECT linden-print-sso.example:443 bağlantısı hakkında ne gösterir?

    CevapC — 192.0.2.37 adresindeki bir istemcinin o anda o ana makineye ve bağlantı noktasına şifreli bir bağlantı açtığını ve her yönde kaç bayt aktığını. Sayfayı, form alanlarını ve neyin yazıldığını göstermez.

    CONNECT satırında hedef yalnızca ana makine ve bağlantı noktasını taşır; vekil sunucu HTTPS'i çözmez. Bayt sayıları tüm tüneli kapsar. Birkaç kilobaytlık bir tünel bir formun gönderilmesiyle uyumludur, başka kullanımlarla da aynı ölçüde uyumludur. Boyut, içerik hakkında bir bulgu değildir.

    Nerede

    proxy-log.csv, 10:31:41 satırı; export-metadata.txt, target, bytes_out ve bytes_in sütunlarının satırları.

    Olağan hata

    Bir tünelin boyutunu, ne gönderildiğinin kanıtı saymak.

11. S111 puan

    İstemci, 10:31:41'deki linden-print-sso.example CONNECT bağlantısında kaç bayt gönderdi (bytes_out)? Tam sayı girin.

    Cevap3917

    Satırda bytes_out 3917 ve bytes_in 5206 kayıtlıdır. bytes_out istemcinin gönderdiğini, bytes_in sunucunun gönderdiğini sayar; ikisi de tüm tüneli kapsar. Sayıyı okumadan önce sütun adını okuyun.

    Nerede

    proxy-log.csv, 10:31:41 satırı, bytes_out sütunu.

    Olağan hata

    bytes_in değerini okumak ya da iki sütunu toplamak.

12. S122 puan

    Vekil sunucu günlüğünde 192.0.2.37 adresinden saat 11:34:20 (yerel) için bir satır var (GET http://news.daily-gazette.example/world/today). Bu kimin etkinliği?

    CevapA — LPW-FIN04'ün. 08:34:20 UTC'de adres LPW-FIN04'e kiralanmıştı ve LPW-HR02'nin kiralaması 08:30:30 UTC'de sona ermişti. Satır, İK asistanının iş istasyonu hakkında delil değildir.

    Vekil sunucu zamanı 08:34:20 UTC'ye çevrilir. LPW-HR02'nin kiralaması 08:30:30'da biter, LPW-FIN04'ün kiralaması 08:30:41'de başlar. Bir adres, bir ana makineyi yalnızca tek bir kiralamanın süresince tanımlar. Aynı adres, kiralama değişene kadar aynı ana makine anlamına gelir.

    Nerede

    proxy-log.csv, 11:34:20 satırı; dhcp-leases.csv, 192.0.2.37 satırları.

    Olağan hata

    Bir adresin tüm satırlarını, bütün gün boyunca tek bir ana makineye yüklemek.

13. S132 puan

    proxy-log.csv, 10:00 – 14:00 (yerel) penceresi için eksiksiz mi? Doğru ifadeyi seçin.

    CevapD — Hayır. 40 satır sınırında 40 satır döndü, bir sonraki sayfa var ve toplanmadı; son satır 12:05:17'dedir. Dosya, 12:05:17 – 14:00:00 (yerel) arası hakkında bir şey söylemez ve sonraki satırların olmaması hiçbir şey olmadığının delili değildir.

    Üst veri, satır sınırını (40), dönen satırı (40) ve toplanmamış bir sonraki sayfayı belirtir. Sınırını dolduran bir sayfa, dışa aktarımı bütün saymak için değil, sonraki sayfayı istemek için bir nedendir. VP-03'te dışa aktarım sınırının çok altında durmuştu ve eksiksiz denebiliyordu; bu dışa aktarım için denemez.

    Nerede

    export-metadata.txt, 1. dışa aktarım: satır sınırı, dönen satır ve sonraki sayfa; proxy-log.csv, son satır.

    Olağan hata

    Dolu bir sayfayı sonucun tamamı saymak.

14. S142 puan

    İnceleyen kişi yalnızca bu dosyalara dayanarak hangi cümleyi imzalayabilir?

    CevapC — 7 Nisan 2026'da, o anda LPW-HR02'ye kiralanmış olan 192.0.2.37 adresindeki bir istemci, teslimden 18 dakika sonra (07:31:06 UTC, 07:31:05 UTC'deki bir DNS sorgusundan sonra) iletideki bağlantıda adı geçen alan adını istedi ve ona üç istek daha yaptı; sonuncusu 07:52:16 UTC'dedir. Dosyalar iş istasyonunu kimin kullandığını, neyin yazıldığını ya da hesabın başka bir yerde kullanılıp kullanılmadığını göstermez.

    c cümlesi zaman esasını, o andaki ana makineyi, sayıları ve sınırları belirtir. a ve b cümleleri, günlüklerin gösteremeyeceği şeyleri bulgu gibi sunar. d cümlesi ise dosyaların kaydettiklerini de yok sayar.

    Nerede

    Dört veri dosyasının tamamı; c cümlesindeki her olgu bunlardan birinden gelir.

    Olağan hata

    Bir günlük satırı ile bir kişi arasındaki boşluğu bir çıkarımla doldurmak ve onu bulgu diye imzalamak.

03Kurulan kronoloji

Doğru cevaplarla kurulan zaman çizelgesi. Yerel saat UTC+3'tür.

04Puanlama

1–11. sorular birer puan, 12. soru üç puan değerindedir: toplam 23 puan. Bulgu paragrafı puanla değerlendirilmez; aşağıdaki dört ölçüte göre işaretleyin ve değerlendirmede tartışın.

Bulgu paragrafı: ölçütler

• ☐ Her zaman değeri kendi esasını taşır: UTC ya da farkıyla yerel saat.
• ☐ Ana makine, o anda geçerli kiralamayla adlandırılır; rapor bir kişiyi değil ana makineyi adlandırır.
• ☐ Rapor, günlüklerin neyi göstermediğini belirtir: iş istasyonunu kimin kullandığı, neyin yazıldığı ve vekil sunucu dışa aktarımının son satırından sonraki dönem.
• ☐ Her iddia dosyasını ve satırını adlandırır; rapor, vekil sunucu dışa aktarımının eksik olduğunu söyler.

05Değerlendirme

1. Bir bağlantının görüntülenen metnini gönderen yazar. Tarayıcının izlediği, href değeridir.
2. Kimlik doğrulama sonuçları, adlandırdıkları alan adını anlatır. Benzer bir alan adı için başarılı sonuç, güven demek değildir.
3. İki günlük, iki saat. Çıkarmadan önce çevirin.
4. Bir adres, bir ana makineyi yalnızca kiralamanın süresince adlandırır. Dışa aktarımın dolu bir sayfası, sonraki sayfayı istemek için bir nedendir.

06Örnek bulgu

phishing-message.eml iletisi posta kutusu sunucusuna 07:12:43 UTC'de teslim edildi. HTML bölümündeki bağlantı, bağlantı metni olarak gösterilen şirket alan adını değil, linden-print-sso.example adresini gösterir. SPF, DKIM ve DMARC, göndericinin kendi alan adı olan linden-hr-notice.example için başarılı sonuç verdi. 192.0.2.37 adresindeki istemci, tesliminden 18 dakika 22 saniye sonra, 07:31:05 UTC'de çözümleyiciden bu adı sordu; vekil sunucu günlüğü bir saniye sonra bir istek ve üç bağlantı daha gösterir, sonuncusu 07:52:16 UTC'dedir. Kiralama kayıtları, adresin o anda LPW-HR02'ye ait olduğunu ve 08:30:41 UTC'den itibaren LPW-FIN04'e ait olduğunu gösterir; bu nedenle adresten gelen sonraki satırlar İK iş istasyonuyla ilgili değildir. Vekil sunucu günlüğü, her tünelin hedefini ve boyutunu kaydeder, neyin yazıldığını kaydetmez. Ayrıca eksiktir: 40 satırlık sınırında, yerel saatle 12:05:17'de durdu ve bir sonraki sayfa toplanmadı. Paket, iş istasyonunu kimin kullandığını, bir parolanın girilip girilmediğini ya da hesabın başka bir yerde kullanılıp kullanılmadığını göstermez; istenecek sonraki kaynak posta hizmetinin oturum açma günlükleridir.

Rapor anatomisi ve güven ölçeği →