🔬Blue Team Labs
Completed
✅Log Analysis- Privilege Escalation
✅ATT&CK

In Progress
☑Phishing Analysis #email #url2png #whois
☑The Planet's Prestige #email

🛡CyberDefenders
In Progress
☑Qradar101 #siem #investigation
☑Intel101 #osint

💻TryHackMe
In Progress
☑Cyber Defense - Threat and Vulnerability Management - MITRE #study

Интересное наблюдение, которое можно использоваться для запоминания:

В Cyber Kill Chain 7 этапов, а в MITRE ATT&CK рассматриваются 14 тактик, то есть ровно в 2 раза больше (напомню, что тактика = цель атакующего, objective).

А ещё MITRE изначально (2013) собирали TTP только для Windows.

💻TryHackMe
Completed
✅Cyber Defence - Threat and Vulnerability Management - MITRE
✅Cyber Defense - Introductory Networking
✅Cyber Defense - Security Operations & Monitoring - Volatility #study

In Progress
☑️Investigating Windows (56%) #dfir
☑️How The Web Works - DNS in Detail (36%) #study

🔺TCP/IP vs OSI🔻

TCP/IP | OSI
Год создания: 1982 | 1984
Разработан: DoD | ISO
Отличия: real-world | for learning purposes

Уровни OSI
7️⃣Приложения
6️⃣Представления - переводит данные в формат, который будет понятен принимающей стороне, а также шифрует и сжимает.
5️⃣Сеансовый - устанавливает соединение с другим хостов. Если этого не удаётся сделать, то данные не опускаются ниже по модели.
4️⃣Транспортный - здесь выбирает протокол, с помощью которого будут передаваться данные (TCP/UDP)/
3️⃣Сетевой - определяет назначение (в смысле адреса) посылки: логическая адресация, выбор IP-адреса назначения. Данные оформляются в пакеты.
2️⃣Канальный - это про физическую адресацию. Добавляет к IP-адресу MAC-адресу (который, кстати, буквально выжигается на каждой сетевой карте; впрочем, это не мешает его спуфить). Также именно тут данные переводят в формат, подходящий для передачи. И ещё тут проверяется, не были ли данные повреждены при передаче на физическом уровне. Это происходит путём добавления в конец передачи "трейлера": он используется для проверки целостности. Передача происходит в виде фреймов.
1️⃣Физический

📌Мнемо-правило:
Футбольный Клуб Спартак: Только Слабых Привыкли Побеждать

Ну а TCP/IP - это про three-way handshake.

Сравнение OSI и TCP/IP

Для форензик-анализа "живой" Винды (особенно если есть права администратора) может хватить обычной командной строки и журнала событий. Или Powershell - для продвинутых.
Полезные команды:
📍net user - перечисляет пользователей системы и даёт информацию по каждому, если указать имя. Можно также активировать/деактивировать УЗ, указать разрешённое время для входа и список рабочих станций, расширять описание и т.д.
📍schtasks - выводит все имеющиеся задачи, которые можно фильтровать (например, по статусу: запущен или нет) с помощью findstr. На самом деле не особо удобно, так как строки заворачиваются и получается какая-то каша, поэтому проще залезть в С:/Windows/System32/Tasks и увидеть там xml-файлы, соответствующие всем ныне активным задачам. В файлах также можно найти их подробное описание: что, когда, на какой порт и т.д.
С помощью schtasks также можно управлять задачами, но опять, зачем извращаться, если можно запустить Task Scheduler.

🔎Как работает DNS

1. Сначала хост проверяет свой собственный локальный кэш - не осталось ли там сведений об обращении по аналогичной ссылке.
2. Если в кэше нет, то идёт обращение к рекурсивному DNS-серверу. О нём обязательно знает местный роутер. Владеют ими обычно интернет-провайдеры, но Гугл, например, тоже. У такого сервера тоже есть свой кэш, но если в нём пусто, то:
3. В мире есть некоторое количество корневых DNS-серверов. Когда-то их было всего 13, и хотя число их значительно возросло, они всё ещё доступны под теми же 13 адресами (и ты всегда обращаешься к географически ближайшему).
4. Эти корневые серверы знают всё о top-level доменных серверах. Каждый TLD отвечает за своё расширение: .com, .ru, .co.uk и т.д.
Бывают gTLD (generic) и ссTLD (country code). Всего существуют >2000 различных TLD.
5. Далее запрос от соответствующего TLD адресуется authoritative серверу. На них хранятся непосредственно DNS-записи о доменах.

В итоге, если сами мы данные не располагаем, то получается такой путь:
recursive —> root —> top-level —> authoritative.

Утилита dig немного показывает, как всё это работает.

⚙️Устройство доменного имени
Top-level domain - это .com, .gov, .ua, .club и т.д.
Second-level domain - это одно(!) слова слева от TLD.
Subdomain - всё, что левее second-level domain.
Всего длина домена не должны превышать 253 символа.

Пример: jupiter[.]servers[.]tryhackme[.]com

📎📎📎Полезные ссылки на будущее

📎https://github.com/stuxnet999/MemLabs - можно потренировать в #dfir в стиле CTF. Всего 6 лаб. #volatility
📎https://volatility-labs.blogspot.com/ - ещё больше лаб по #volatility Но пока не разобралась, где можно посмотреть задания завершившихся контестов.