Konuyu Açan
#1
Günümüzde güvenlik olaylarının kaydı ve analizi, her kurumun temel sızdırmazlık araçlarından biri haline geldi. Özellikle Linux tabanlı ortamlarda, audit altyapısı üzerinden toplanan olaylar, incelenmesi ve korelasyonu için etkili bir başlangıç noktası sunar. Bu yazıda, ausearch komutunu temel kullanış biçimleri ve pratik ipuçlarını, adım adım örneklerle derinlemesine ele alacağım.
Birincil amaç ve altyapı
- auditd servisi, sistem çağrılarının ve güvenlik ihlallerine dair olayların kaydını tutar. Bu kayıtlar /var/log/audit/ altında toplanır.
- ausearch, bu loglardan belirli kriterlere uygun olayları filtrelemek ve görüntülemek için kullanılan temel araçtır.
- Temel akış şöyle işler: olaylar kaydedilir -> auditd loglar üzerinde arama yapılır -> çıktı inceleyip korelasyon kurulur -> gerektiğinde eyleme geçirilecek adımlar netleşir.
Çok kullanışlı temel komutlar ve örnekler
- Basit filtreleme: belirli bir kullanıcıya ait olayları görmek
KOD
1ausearch -ua kullanıcı-adıBu komut, o kullanıcıya ilişkin tüm güvenlik olaylarını getirir. Özellikle sudo kullanımı, oturum açma başarısızlıkları gibi durumlar için yararlıdır.
- Belirli bir süreçle ilişkili olayları bulma
KOD
1ausearch -p PIDPID yerine izlemek istediğiniz süreç kimliğini yazın; bu, o sürece ait tüm güvenlik olaylarını gösterir.
- Zaman aralığıyla arama
KOD
1ausearch -ts yyyy-mm-dd hh:mm:ss -te yyyy-mm-dd hh:mm:ssBaşlangıç ve bitiş zamanı ile olayları daraltır; örneğin son 24 saatlik kritik olaylar için kullanışlıdır.
- Olay türünü sınırlama
KOD
1ausearch -m prelude -m ever-m ile arayacağınız olay türlerini belirtir; örneğin user_login, USERAVC, CWD_CHANGE gibi kategorileri inceleyebilirsiniz.
- Çıktıyı okunabilir özetlere dönüştürme
KOD
1ausearch -i -ua kullanıcı-adı-i ile olayları insan tarafından okunabilir formata getirir; -i olmadan temel anahtarlar ve değerler görünür.
- Belirli bir dosya veya yol için tetiklenen olaylar
KOD
1ausearch -f /path/to/fileDosya değişiklikleri, erişimler veya izinsiz denemeler için kullanışlıdır.
Bir güvenlik analisti olarak pratik yol haritası
- Öncelikle hangi olayların kritik olduğunu belirleyin: sudo kullanımları, yeni kullanıcı eklemeleri, dosya izin değişiklikleri, ağ erişim ihlalleri vb.
- Olayları zaman pencereleriyle izleyin ve yüksek öneme sahip olayları birbirleriyle ilişkilendirin: bir kullanıcı oturum açarken aynı anda dosya değişiklikleri oldu mu?
- Korelasyon için ek log kaynaklarını entegre edin: syslog, kernel mesajları, auth.log gibi.
- Sonuçları görselleştirmek ve kalıpları tespit etmek için çıktıyı başka araçlara aktarın: log analiz araçları veya basit csv çıktısı ile trendleri çıkarın.
Kapanış
Ausearch, güvenlik olaylarının kökenine inmek için sağlam bir temeldir ve audit altyapısının gücünü günlük operasyonlara taşıyan köprü gibidir. Fikirleriniz veya bu araçla karşılaştığınız özel durumlar varsa paylaşabilirsiniz. Bu konudaki deneyimleriniz nelerdir?
