Konuyu Açan
#1
Linux auditd Kayıtlarıyla Yetki Değişikliklerini İzleme
Linux sistemlerinde güvenliği sağlamak ve olası yetki ihlallerini tespit etmek, modern siber güvenlik uygulamalarında temel bir gerekliliktir. Bu noktada, auditd (Audit Daemon) hizmeti, sistemde gerçekleşen olayların detaylı bir şekilde kaydedilmesini sağlayarak, yetki değişiklikleri gibi kritik olayların takibini kolaylaştırır. Peki, auditd kullanarak yetki değişikliklerini nasıl etkin biçimde izleyebiliriz?
Auditd'nin temel amacı, sistemde gerçekleşen olayları belirli kurallara göre kaydetmek ve bu kayıtlar üzerinden analiz yapmaktır. Yetki değişiklikleri genellikle dosya izinleri, kullanıcı grupları veya sudo gibi yüksek ayrıcalık gerektiren işlemlerle ilgilidir. Bu olaylar, uygun kurallarla yapılandırıldığında, sistem yöneticilerine gerçek zamanlı veya geçmişe dönük detaylı raporlar sunar.
İlk olarak, auditd konfigürasyon dosyası olan /etc/audit/audit.rules veya /etc/audit/rules.d/ dizinindeki kurallara yeni satırlar eklenerek izleme yapılması gereken dosyalar veya sistem çağrıları belirlenir. Örneğin, /etc/sudoers veya /etc/group gibi önemli dosyalarda yetki değişikliği gerçekleştiğinde kayda alınmasını sağlamak için şu kural eklenebilir:
Burada, -w ile izlenecek dosya, -p ile izleme modları (write ve attribute değişikliği), -k ise olayları kategorize etmek için kullanılan anahtar kelimedir.
Yetki değişikliklerini izlerken, özellikle dosya izinleri ve kullanıcı gruplarına ilişkin olaylar önemlidir. Ayrıca, 'setuid' veya 'setgid' gibi özel dosya izinleri ve komutların kullanımı da dikkatle takip edilmelidir. Bu kapsamda, sistem çağrılarını izlemek için aşağıdaki kurallar da eklenebilir:
Bu kurallar, 64-bit mimarilerde, belirli sistem çağrılarını kaydeder ve yüksek ayrıcalık kullanıcılarının yaptığı değişiklikleri izler.
Son olarak, auditd kayıtlarını analiz etmek ve raporlamak için 'ausearch', 'aureport' gibi araçlar kullanılır. Bu araçlar sayesinde, yetki değişiklikleri, zaman damgaları ve kullanıcı bilgileri detaylı biçimde incelenebilir.
Auditd ile yetki değişikliklerini izlemek, hem sistem güvenliğini artırır hem de olası ihlallerin hızlı tespiti için kritik bir adımdır. Güvenlik politikalarının düzenli gözden geçirilmesi ve uygun kuralların yapılandırılması, sistemin bütünlüğünü korumanın temel taşlarındandır.
Linux sistemlerinde güvenliği sağlamak ve olası yetki ihlallerini tespit etmek, modern siber güvenlik uygulamalarında temel bir gerekliliktir. Bu noktada, auditd (Audit Daemon) hizmeti, sistemde gerçekleşen olayların detaylı bir şekilde kaydedilmesini sağlayarak, yetki değişiklikleri gibi kritik olayların takibini kolaylaştırır. Peki, auditd kullanarak yetki değişikliklerini nasıl etkin biçimde izleyebiliriz?
Auditd'nin temel amacı, sistemde gerçekleşen olayları belirli kurallara göre kaydetmek ve bu kayıtlar üzerinden analiz yapmaktır. Yetki değişiklikleri genellikle dosya izinleri, kullanıcı grupları veya sudo gibi yüksek ayrıcalık gerektiren işlemlerle ilgilidir. Bu olaylar, uygun kurallarla yapılandırıldığında, sistem yöneticilerine gerçek zamanlı veya geçmişe dönük detaylı raporlar sunar.
İlk olarak, auditd konfigürasyon dosyası olan /etc/audit/audit.rules veya /etc/audit/rules.d/ dizinindeki kurallara yeni satırlar eklenerek izleme yapılması gereken dosyalar veya sistem çağrıları belirlenir. Örneğin, /etc/sudoers veya /etc/group gibi önemli dosyalarda yetki değişikliği gerçekleştiğinde kayda alınmasını sağlamak için şu kural eklenebilir:
KOD
1 -w /etc/sudoers -p wa -k sudoers_changesBurada, -w ile izlenecek dosya, -p ile izleme modları (write ve attribute değişikliği), -k ise olayları kategorize etmek için kullanılan anahtar kelimedir.
Yetki değişikliklerini izlerken, özellikle dosya izinleri ve kullanıcı gruplarına ilişkin olaylar önemlidir. Ayrıca, 'setuid' veya 'setgid' gibi özel dosya izinleri ve komutların kullanımı da dikkatle takip edilmelidir. Bu kapsamda, sistem çağrılarını izlemek için aşağıdaki kurallar da eklenebilir:
KOD
1 -a always,exit -F arch=b64 -S open,openat,execve -F auid>=1000 -F auid!=unset -F key=perm_changesBu kurallar, 64-bit mimarilerde, belirli sistem çağrılarını kaydeder ve yüksek ayrıcalık kullanıcılarının yaptığı değişiklikleri izler.
Son olarak, auditd kayıtlarını analiz etmek ve raporlamak için 'ausearch', 'aureport' gibi araçlar kullanılır. Bu araçlar sayesinde, yetki değişiklikleri, zaman damgaları ve kullanıcı bilgileri detaylı biçimde incelenebilir.
Auditd ile yetki değişikliklerini izlemek, hem sistem güvenliğini artırır hem de olası ihlallerin hızlı tespiti için kritik bir adımdır. Güvenlik politikalarının düzenli gözden geçirilmesi ve uygun kuralların yapılandırılması, sistemin bütünlüğünü korumanın temel taşlarındandır.
