Konuyu Açan
#0
Bash geçmişi, bir kullanıcının terminalde gerçekleştirdiği önceki komutların kaydını tutar. Ancak bu özellik, kötü niyetli bir kullanıcının sistem üzerinde iz bırakmadan hareket etmesine olanak tanıyabilir. İşte bu noktada Bash History Manipulation tespit scriptleri devreye girer. Bu tür bir script yazarken, kullanıcıların bash geçmişlerinde yaptığı değişiklikleri tespit etmek için belirli sistem dosyalarını ve komutları analiz etmelisiniz. Örneğin, kullanıcıların `~/.bash_history` dosyasını değiştirmesi veya silmesi gibi eylemleri göz önünde bulundurarak bir kontrol mekanizması geliştirmek oldukça kritik.
Bash geçmişini izlemek için, öncelikle `PROMPT_COMMAND` değişkenini kullanarak her komut çalıştırıldığında bir zaman damgası ekleyebilirsiniz. Bu değişiklik, komutların ne zaman çalıştırıldığını kaydetmek için oldukça etkili bir yöntemdir. Örneğin, aşağıdaki satırı `~/.bashrc` dosyanıza ekleyerek bunu gerçekleştirebilirsiniz: `export PROMPT_COMMAND='history -a; history -n; date >> ~/.bash_command_timestamps'`. Bu komut, her terminal oturumunda çalıştırılan her komutun zaman damgasını kaydeder ve böylece geçmişinizi daha güvenli hale getirebilir.
Bunun yanı sıra, `history` komutunu kullanarak geçmişe bakmanın yanı sıra, yalnızca belirli bir kullanıcı için bu geçmişin nasıl manipüle edildiğini anlamak adına `auditd` gibi bir denetim aracı kullanabilirsiniz. `auditd`, belirli dosyalara yönelik erişimlerin kaydını tutar ve bu sayede `~/.bash_history` dosyasına yapılan her erişim veya değişim kaydedilir. Bunun için `/etc/audit/audit.rules` dosyasına şu satırı eklemek yeterlidir: `-w /home/kullanici_adiniz/.bash_history -p wa`. Bu, dosya üzerinde yazma ve atama işlemlerinin kaydını tutacaktır.
Bash geçmişi üzerinde yapılan değişikliklerin tespiti için bir diğer önemli yöntem, `diff` komutunu kullanarak düzenli aralıklarla yedeklenen geçmiş dosyalarını karşılaştırmaktır. Eğer bir önceki günün yedeğiyle bugünün yedeği arasında fark varsa, bir manipülasyon yapılmış demektir. Bunun için bir cron job tanımlayarak belirli aralıklarla bu karşılaştırmayı otomatikleştirebilirsiniz. Komut şu şekilde olabilir: `*/5 * * * * diff ~/.bash_history ~/.bash_history.bak`. Bu, her beş dakikada bir geçmiş dosyanızı kontrol eder ve değişiklikleri göz önüne serer.
Kullanıcıların geçmiş dosyalarına erişimini sınırlandırmak da bir başka önemli adım. `chmod` komutu ile bu dosyaların izinlerini düzenleyerek, yalnızca belirli kullanıcıların bu dosyaya erişim hakkı olmasını sağlayabilirsiniz. Örneğin, `chmod 600 ~/.bash_history` komutu, yalnızca dosya sahibinin okuma ve yazma izinlerine sahip olmasını sağlar. Bu basit ama etkili yöntemle, kötü niyetli kullanıcıların geçmişinizi değiştirmesinin önüne geçebilirsiniz.
Son olarak, her ne kadar bu teknikler etkili olsa da, sürekli bir güncel bilgi akışı sağlamak da kritik. Sisteminizdeki güncellemeleri takip ederek ve güvenlik açıklarını sürekli gözden geçirerek, Bash geçmişi manipülasyonunu önlemek için daha sağlam bir zemin oluşturmuş olursunuz. Yani, sürekli öğrenmeyi ve uygulamayı asla bırakmamak gerek…
Bash geçmişini izlemek için, öncelikle `PROMPT_COMMAND` değişkenini kullanarak her komut çalıştırıldığında bir zaman damgası ekleyebilirsiniz. Bu değişiklik, komutların ne zaman çalıştırıldığını kaydetmek için oldukça etkili bir yöntemdir. Örneğin, aşağıdaki satırı `~/.bashrc` dosyanıza ekleyerek bunu gerçekleştirebilirsiniz: `export PROMPT_COMMAND='history -a; history -n; date >> ~/.bash_command_timestamps'`. Bu komut, her terminal oturumunda çalıştırılan her komutun zaman damgasını kaydeder ve böylece geçmişinizi daha güvenli hale getirebilir.
Bunun yanı sıra, `history` komutunu kullanarak geçmişe bakmanın yanı sıra, yalnızca belirli bir kullanıcı için bu geçmişin nasıl manipüle edildiğini anlamak adına `auditd` gibi bir denetim aracı kullanabilirsiniz. `auditd`, belirli dosyalara yönelik erişimlerin kaydını tutar ve bu sayede `~/.bash_history` dosyasına yapılan her erişim veya değişim kaydedilir. Bunun için `/etc/audit/audit.rules` dosyasına şu satırı eklemek yeterlidir: `-w /home/kullanici_adiniz/.bash_history -p wa`. Bu, dosya üzerinde yazma ve atama işlemlerinin kaydını tutacaktır.
Bash geçmişi üzerinde yapılan değişikliklerin tespiti için bir diğer önemli yöntem, `diff` komutunu kullanarak düzenli aralıklarla yedeklenen geçmiş dosyalarını karşılaştırmaktır. Eğer bir önceki günün yedeğiyle bugünün yedeği arasında fark varsa, bir manipülasyon yapılmış demektir. Bunun için bir cron job tanımlayarak belirli aralıklarla bu karşılaştırmayı otomatikleştirebilirsiniz. Komut şu şekilde olabilir: `*/5 * * * * diff ~/.bash_history ~/.bash_history.bak`. Bu, her beş dakikada bir geçmiş dosyanızı kontrol eder ve değişiklikleri göz önüne serer.
Kullanıcıların geçmiş dosyalarına erişimini sınırlandırmak da bir başka önemli adım. `chmod` komutu ile bu dosyaların izinlerini düzenleyerek, yalnızca belirli kullanıcıların bu dosyaya erişim hakkı olmasını sağlayabilirsiniz. Örneğin, `chmod 600 ~/.bash_history` komutu, yalnızca dosya sahibinin okuma ve yazma izinlerine sahip olmasını sağlar. Bu basit ama etkili yöntemle, kötü niyetli kullanıcıların geçmişinizi değiştirmesinin önüne geçebilirsiniz.
Son olarak, her ne kadar bu teknikler etkili olsa da, sürekli bir güncel bilgi akışı sağlamak da kritik. Sisteminizdeki güncellemeleri takip ederek ve güvenlik açıklarını sürekli gözden geçirerek, Bash geçmişi manipülasyonunu önlemek için daha sağlam bir zemin oluşturmuş olursunuz. Yani, sürekli öğrenmeyi ve uygulamayı asla bırakmamak gerek…