Autor del tema
#1
Auditctl ile Denetim Kuralları
Denetim sistemleri arasında en esnek ve güçlü araçlardan biri olan auditd, çekirdeğin üzerinde çalışan bir denetim izi mekanizmasıdır. auditctl ise bu denetim altyapısını konfigüre etmek için kullanılan komut satırı aracıdır. Amaç, kritik dosyalar, sistem çağrıları veya kullanıcı eylemleri üzerinde olay akışını tanımlayarak güvenlik olaylarını yakalamaktır. Aşağıda pratik ve temel kullanımları derledim.
[ i ]Biraz temel kavramlar[/i]
[ i ]Temel kurallar ve örnekler[/i]
[list]kelime ve dosya erişimlerini izlemek:
auditctl -w /etc/passwd -p wa -k passwd_changes
Bu komut /etc/passwd dosyasındaki yazma ve silme (write, attribute change) aktivitelerini anahtar ile etiketler.
belirli bir kullanıcıya ait komutları izlemek:
auditctl -a exit,always -F arch=b64 -S execve -F auid>=1000 -F auid!=4294967295
sistem çağrısı bazlı izleme:
auditctl -a always,exit -S open -F exit=-EACCES
Bu komut açık olmayan dosya erişimlerinde alarm üretir.
etkileşimli yaşam döngüsü için kalıcı kurallar:
echo "-w /etc/shadow -p wa -k shadow" >> /etc/audit/rules.d/99-local.rules
systemctl restart auditd
Böylece yeniden başlatmada kurallar kaybolmaz.
kural kaldırma ve yönetim:
auditctl -w /etc/cron.d -p wa -k cron_changes
auditctl -W /etc/cron.d -k cron_changes -p w
auditctl -D
Kuralları temizlemek veya değiştirmek için kullanılır.
kayıt analizi:
ausearch -k passwd_changes
aureport -i -f /var/log/audit/audit.log
Bu araçlar olay geçmişini anlamlı şekilde özetler.
[ i ]Pratik uyarılar ve güvenlik notları[/i]
[Kapanış]
Auditctl ile Denetim Kuralları, sistem davranışını ölçümlemek ve güvenlik olaylarını hızlı tespit etmek için güçlü bir temel sağlar. Kuralları dikkatli tasarlayarak operasyonel yükü yönetmek, gerektiğinde olay müdahalesini hızlandırır.
Denetim sistemleri arasında en esnek ve güçlü araçlardan biri olan auditd, çekirdeğin üzerinde çalışan bir denetim izi mekanizmasıdır. auditctl ise bu denetim altyapısını konfigüre etmek için kullanılan komut satırı aracıdır. Amaç, kritik dosyalar, sistem çağrıları veya kullanıcı eylemleri üzerinde olay akışını tanımlayarak güvenlik olaylarını yakalamaktır. Aşağıda pratik ve temel kullanımları derledim.
[ i ]Biraz temel kavramlar[/i]
- Denetim tabanlı olaylar: Sistem çağrıları (syscalls), dosya erişimleri, ağ aktiviteleri ve daha fazlası. Her olay, zaman damgası, kullanıcı kimliği, süreç bilgisi gibi meta verilerle kaydedilir.
- Denetim tutanakları: /var/log/audit/ altında veya yapılandırmaya göre farklı hedeflere yazılır. Bu kayıtlar daha sonra analiz için kullanılabilir.
- Filtreler ve anahtarlar: Hangi olayların kaydedileceğini belirlemek için anahtar kelimeler veya filtreler kullanılır. Örneğin belirli bir kullanıcıya ait işlemleri izlemek.
[ i ]Temel kurallar ve örnekler[/i]
[list]
auditctl -w /etc/passwd -p wa -k passwd_changes
Bu komut /etc/passwd dosyasındaki yazma ve silme (write, attribute change) aktivitelerini anahtar ile etiketler.
auditctl -a exit,always -F arch=b64 -S execve -F auid>=1000 -F auid!=4294967295
auditctl -a always,exit -S open -F exit=-EACCES
Bu komut açık olmayan dosya erişimlerinde alarm üretir.
echo "-w /etc/shadow -p wa -k shadow" >> /etc/audit/rules.d/99-local.rules
systemctl restart auditd
Böylece yeniden başlatmada kurallar kaybolmaz.
auditctl -w /etc/cron.d -p wa -k cron_changes
auditctl -W /etc/cron.d -k cron_changes -p w
auditctl -D
Kuralları temizlemek veya değiştirmek için kullanılır.
ausearch -k passwd_changes
aureport -i -f /var/log/audit/audit.log
Bu araçlar olay geçmişini anlamlı şekilde özetler.
[ i ]Pratik uyarılar ve güvenlik notları[/i]
- Kalıcı kuralları kullanırken dosya izinlerini ve disk alanını düşünün: aşırı ayrıntı çok sayıda günlük üretebilir.
- Üst düzey güvenlik için redundant ve anahtar etiketli kurallar kullanın ki yanlış pozitifler azaltılsın.
- Auditd konfigürasyonu kök yetkileri gerektirir; güvenlik açıklarını azaltmak için dosya sistemlerinde imzalı kurallar kullanımı düşünün.
[Kapanış]
Auditctl ile Denetim Kuralları, sistem davranışını ölçümlemek ve güvenlik olaylarını hızlı tespit etmek için güçlü bir temel sağlar. Kuralları dikkatli tasarlayarak operasyonel yükü yönetmek, gerektiğinde olay müdahalesini hızlandırır.
