Linux Bash History Forensics

Bash shell, Linux sistemlerinde yaygın olarak kullanılan bir komut satırı arayüzüdür. Kullanıcılar, bu arayüz üzerinden sistemle etkileşime girerken çeşitli komutlar girerler ve bu komutların kaydı, kullanıcının ~/.bash_history dosyasında tutulur. Ancak, bu dosya sadece kullanıcının geçmişteki komutlarını değil, aynı zamanda bir güvenlik olayı sonrası yapılacak adli inceleme için önemli verileri de barındırır.

Bash geçmişinin incelenmesi, özellikle bir siber saldırı sonrası, kullanıcı aktivitelerinin izlenmesi açısından kritiktir. Bu dosya, kullanıcının hangi komutları çalıştırdığını gösterirken, potansiyel olarak kötü niyetli aktiviteleri ortaya çıkarmak için de kullanılabilir. Örneğin, bir saldırganın sistemde hangi dosyaları değiştirdiği veya hangi ağ bağlantılarına erişmeye çalıştığı gibi bilgileri elde etmek mümkündür.

Bash geçmişi, belirli durumlarda yanıltıcı olabilir. Örneğin, kullanıcılar history -c komutunu kullanarak geçmişlerini temizleyebilirler. Ancak, bu tür silme işlemleri genellikle ~/.bash_history dosyasının güncellenmesi sırasında yapılır ve bu dosya, sadece kullanıcı oturumu kapandığında güncellenir. Bu da, adli inceleme sırasında geçmişteki bazı komutların kaybolmadığı anlamına gelir. Ayrıca, bazı sistemlerde HISTCONTROL ve HISTIGNORE gibi çevresel değişkenler, hangi komutların kaydedileceğini etkileyebilir.

Bir diğer önemli nokta, BASH_ENV değişkenidir. Bu değişken, her yeni shell oturumu açıldığında çalıştırılacak bir betik dosyasını belirler. Kötü niyetli bir kullanıcı, bu değişkeni kullanarak her oturumda belirli komutları çalıştırarak izini gizleyebilir.

Sonuç olarak, Linux Bash geçmişinin analizi, sistem güvenliği ve olay müdahale süreçlerinde kritik bir rol oynamaktadır. Bu dosyanın incelenmesi, kullanıcı davranışlarının ve potansiyel tehlikelerin anlaşılması açısından büyük önem taşır. Adli inceleme sırasında, bu dosyanın yanıltıcı olabileceği ve silinmiş veya değiştirilmiş komutların izlenebilirliği konularının dikkate alınması gerekir.