Aşık olduğumuz olay incelemesi: ausearch ile olay analizi nasıl derinleşir

ausearch ile Olay İncelemesi

Bu yazıda ausearch aracını kullanarak güvenlik olaylarını nasıl sistematik biçimde inceleyebileceğimizi adım adım ele alıyorum. Logları tek tek okumak yerine, belirli kriterlerle filtreleyip korelasyon kurmak, olayların kökenini ve etkisini anlamak için kritik bir yetenek haline geliyor.

• Temel çalışma mantığı: ausearch, auditd tarafından tutulan logları sorgulamanıza olanak tanır. Olaylar, kullanıcı kimlikleri, süreçler, dosya erişimleri ve ağ aktiviteleri gibi çeşitli kategorilere ayrılır. Analize başlarken hedefinizi netleştirmek gerekir: hangi zaman aralığında hangi dikkat edilmesi gereken olaylar?
• Basit filtreler ile hızlı hızlı görünüm:
  
  KOD Kopyala

  123
  ausearch -i -m LOGIN -ts today
  ausearch -i -m CWD -ts 2024-01-01 00:00:00 -te 2024-01-31 23:59:59
  

  
  Bu komutlar, kimlik doğrulama girişimleri ve çalışma dizinindeki değişiklikleri özel bir zaman aralığında listelemek için kullanışlıdır. -i insani okunabilir mod, -m olay türünü belirtir, -ts ve -te zaman aralığını ayarlamaya yarar.
• İlgili olayları korelasyonla bağlama: Bir olayın kullanıcıya mı yoksa süreç tarafına mı ait olduğunu görmek için olayların kullanıcı alanını ve işlem adını incelemek gerekir. Özellikle başarısız girişimlerin ardında hangi işlem veya kullanıcı izi var mı diye bakmak, güvenlik açıklarını anlamada kritiktir.
• Dosya erişimini izlemek ve karşılaştırmak: Bir dosya veya dizinde yapılan değişiklikleri izlemek için kuyruklanan kayıtları toplayın, ardından zaman damgalarını ve süreç bilgilerini karşılaştırın. Olaylar arasında bağ kurmak, hangi işlemlerin hangi dosyaya ne zaman dokunduğunu gösterir.
• Raporlama ve özet çıkarma: Uzun logları tek bir bakışta görmek için --summary veya -a gibi özet seçeneklerini kullanın. Ayrıca belirli olay türlerini bir araya getirip günlük veya haftalık özetler çıkarmak, güvenlik olaylarının genel eğilimlerini görmeyi kolaylaştırır.
• Dağıtık veya çoğul olay senaryolarında güvenlik bağlamı: Birden çok sunucu üzerinde benzer olaylar oluşuyorsa, ortak kullanıcı adları, zaman çakışmaları ve ortak süreçler üzerinde odaklanmak gerekir. Bu durumda ausearch ile merkezi log analizi veya zaman senkronizasyonunun doğrulanması önemli rol oynar.
• Pratik ipuçları: auditd’nin konfigürasyonunu bilirseniz, hangi olayların loglanacağını önceden kestirebilirsiniz. Özellikle dosya izinleri, ağ bağlantıları ve yetkisiz erişim girişimlerini tetikleyen olay tanımlarını önceden kayda geçirirseniz, inceleme süresi ciddi şekilde kısalır.
• Sınırlama ve güvenlik farkındalığı: Audit kayıtları geniş ve ayrıntı içerir; bu nedenle filtreleri dikkatli kullanın. Yanlıştan kaçınmak için çıktıların zaman damgalarını, olay türünü ve kullanıcı/istemci bilgilerini paralel olarak değerlendirin.
• Uygulamalı bir örnek vaka: Bir çalışanın beklenmedik bir anda belirli bir dizine yazma girişiminde bulunduğunu gördünüz. -m WRITE olayını kullanıp, ilgili kullanıcının kimliğini, dosya yolunu ve zaman damgasını birlikte çıkarıp, olay zincirini oluşturabilirsiniz. Bu tür bir korelasyon, yanlış yapılandırma mı yoksa kötü niyetli bir hareket mi olduğuna dair netlik sağlayabilir.
• Ek araçlarla entegrasyon: ausearch çıktılarını jq veya benzeri bir araçla işlemek, daha karmaşık filtreler ve görselleştirme için faydalıdır. Ayrıca logları SIEM’e aktarmak amacıyla uygun formatlarda çıktı almak mümkün.

Bu yaklaşımla ausearch’i sadece olayları listeleyen bir araç olmaktan çıkarıp, olaylar arasındaki bağı kuran, zaman çizelgesini netleştiren ve güvenlik duruşunu güçlendiren bir inceleme aracına dönüştürebilirsiniz. Özellikle geçmiş olayları tararken, hangi filtreleri hangi bağlamlarda kullanacağınızı netleştirmek, hızlı ve güvenilir sonuçlar elde etmenizi sağlar. Bu konudaki deneyimlerinizi ve karşılaştığınız zorlukları paylaşabilirsiniz.