AIDE ile Dosya Bütünlüğü

Giriş ve bağlam
AIDE (Advanced Intrusion Detection Environment), dosya sistemi değişikliklerini izlemek ve dosya bütünlüğünü denetlemek için kullanılan açık kaynaklı bir araçtır. Geleneksel antivirüs taramalarından farklı olarak, AIDE değişiklikleri referans bir imza tablosuna karşı karşılaştırarak tespit eder. Bu yaklaşım, sunucuların konfigürasyon dosyaları, kök dizinleri ve kritik sistemi bileşenlerinin beklenmedik değişikliklerini yakalamada özellikle etkilidir.

• Temel çalışma prensibi
  AIDE, başlangıçta bir referans veritabanı (baseline) oluşturur: dosya yolları, izinler, sahiplik, hashing (MD5/SHA1/SHAsum gibi), parçacıklar ve metadata gibi öğeler bu veritabanında saklanır. Daha sonra izlenen dizinlerde periyodik olarak tarama yapar ve mevcut durum ile referans arasındaki farkları raporlar. Böylece izinsiz değişiklikler, dosya eklemeleri, silinmeler ve metadata değişiklikleri kolayca ortaya çıkar.
• Kullanım akışı
  1) Baseline oluşturma: kök sistemi veya hedef dizinler için güvenli bir çalışma anında mevcut durum kayda alınır.
  2) Değişiklik taraması: zaman içinde otomatik veya manuel olarak tarama çalıştırılır.
  3) Raporlar ve eylem: farklar tespit edildiğinde, değişikliklerin meşru mu yoksa zararlı mı olduğunu incelemek için kayıtlar, loglar ve erişim tarihleri ile korelasyon kurulur.
• Kurulumun dikkat edilmesi gerekenleri
  
  • İzinler ve güvenlik: AIDE’nin çalıştığı kullanıcıya gerekli dosya sistemi okunabilirliği ve dizin gezintisi yetkileri verilir.
  • Veritabanı güvenliği: baseline veritabanı, değiştirilmesi zor olan bir yerde saklanmalı ve imzalı/şifreli bir taşıma yöntemiyle korunmalıdır.
  • Yazılım sürümü ve entegrasyon: Otantikating günlükler ve SIEM/Auditing araçlarıyla uyumlu çıktı formatları (ör. JSON dışa aktarımı) düşünülmelidir.
  • İdeal tarama planı: kritik sistemler için gündüz saatlerinde daha sık, daha az kritik alanlar için gece taraması gibi bir denge kurmak performansı korur.
• Pratik örnekler ve çıktılar
  Bir baseline oluşturduktan sonra tarama çıktısında şu tür differanslar görülebilir: /etc/passwd üzerinde kilitli değişiklikler, /var/log altında yeni veya değişmiş dosyalar, /usr/bin üzerinde imzalanmış olmayan ek dosyalar. Bu farklar, zararlı aktiviteyi gösterebilir veya yönetmeliklerden dolayı yapılan güncellemeyi işaret edebilir; bu nedenle her fark için bağlam gerekir.
• En iyi uygulamalar
  
  • Düzenli baseline güncellemeleri: konfigürasyon değişiklikleri sonrası baseline yenilenmelidir.
  • Sıkı değişiklik süreçleri: hangi değişikliklerin yetkili olduğuna dair değişiklik kayıtları tutulmalı.
  • Entegrasyon: tarama çıktılarını olay yönetimiyle ilişkilendirmek için SIEM’e aktarmak, hızlı olay yönetimini kolaylaştırır.

Sonuç ve kapanış
AIDE, dosya bütünlüğünü izlemek için güçlü ve esnek bir çerçeve sunar; basit bir kurulumla kritik alanların değişikliklerini yakalar, olaylar hakkında bağlamsal bilgiler sağlayarak güvenlik operasyonlarını güçlendirir. Bu araçla, konfigürasyon ve sistem dosyalarının beklenmedik değişikliklerini zamanında tespit etmek mümkün hale gelir.