Auteur de la discussion
#1
Tar ile İşlem Geçmişini İnceleme
İşlem geçmişini incelemek, bir sistemin hangi arşivler üzerinde ne tür değişiklikler yaptığını anlamak için kritik bir beceridir. Özellikle güvenlik olaylarının ardından hangi dosyaların nasıl paketlendiğini, hangi zamanlarda hangi işlemlerin tetiklendiğini görmek adına kullanışlıdır. Bu yazıda, tar ile ilgili temel izleri ve pratik adımları sade bir dille ele alacağız.
Kod örneği (temel inceleme akışı):
Bu adımlar, tar ile işlem geçmişini “doğrudan” kaydetmese de, olayların hangi dosyalarla ilişkilendirilebileceğini ve zaman bağlamını anlamanıza yardımcı olur. Tar arşivlerinin içeriği ve oluşturulma anı arasındaki korelasyonları dikkatli yorumlamak gerekir; çünkü arşivler uzun süreli olayların tek başına kanıt değildir, fakat güvenlik olaylarında bağlayıcı ipuçları sunabilir.
Bu konuyu hangi bağlamda ele almak daha faydalı olur? Özellikle güvenlik olaylarında, belirli bir tar arşivinin hangi kullanıcıya veya hangi zaman damgasına denk geldiğini netleştirmek için kullandığınız araçlar veya kurduğunuz günlük/kurallar hakkında örnekler paylaşabilir misiniz?
İşlem geçmişini incelemek, bir sistemin hangi arşivler üzerinde ne tür değişiklikler yaptığını anlamak için kritik bir beceridir. Özellikle güvenlik olaylarının ardından hangi dosyaların nasıl paketlendiğini, hangi zamanlarda hangi işlemlerin tetiklendiğini görmek adına kullanışlıdır. Bu yazıda, tar ile ilgili temel izleri ve pratik adımları sade bir dille ele alacağız.
- Tar paketleriyle yapılan işlemlerin izini sürmek: Tar komutu, arşiv oluşturma (-c), ekleme (-r), çıkartma (-x) gibi alt komutlarla çalışır. İşlem geçmişini doğrudan gösteren bir günlük (log) değildir; ancak tar tarafından hangi dosyaların hangi anda arşivlendiğini anlamak için dosya zaman damgalarını ve tar arkivlerinin içeriğini incelemek gerekir. Örneğin, bir arşivde hangi dosyaların bulunduğunu görmek için tar tf archive.tar komutu kullanılır ve arşiv içindeki dosyaların oluşturulma/son değiştirme zamanlarına dair ipuçları elde edilir.
- Zaman damgalarını analiz etmek: Arşivlenen dosyaların zaman damgaları, tar arşivinin oluşturulduğu anla sınırlı değildir; ancak arşiv içindeki dosyaların zaman damgaları, olayın gerçekleştiği döneme işaret edebilir. Bu nedenle ls -l veya stat komutlarıyla her dosyanın mtime, ctime gibi alanlarını karşılaştırmak gerekir.
- Sıkıştırılmış arşivler ve meta veriler: Tar arşivleri genelde gzip veya bzip2 ile sıkıştırılır. Bu durumda arşiv içeriğini incelemek için tar -tzf archive.tar.gz gibi bir komutla içeriği listelemek gerekir. Sıkıştırma katmanı bazen arşivin oluşturulduğu ortam ve tar formatı hakkında ipucu verir.
- Dikkat edilmesi gereken güvenlik noktaları: Arşivler, kötü niyetli içerik içerebilir veya zararlı dosya adları barındırabilir. Arşiv içeriğini güvenilir bir ortamda açmak ve arşiv içindeki yolların system path’leriyle çakışmadığından emin olmak gerekir. Ayrıca tar ile çalışırken dosya izinleri ve sahibi bilgileri korunur; bu nedenle yetkisiz erişimin izleri tar arşivlerinde de kendini gösterebilir.
- Tarihsel ve olay odaklı analiz için pratik yöntemler: 1) Arşiv içeriğini tar tf ile incelemek; 2) Arşiv oluşturulma zamanını arşiv meta verilerinden veya arşivden türetmeye çalışmak; 3) Arşiv içindeki dosyaların path’lerini ve modlarını karşılaştırmak; 4) Log dosyalarında tar veya benzeri komutların çağrıldığı zaman dilimlerini aramak (auditd veya syslog ile ek loglar günlüklenmiş olabilir).
Kod örneği (temel inceleme akışı):
CODE
1234567891011# Arşiv içeriğini listele
tar tf archive.tar
[b]Sıkıştırılmış arşivi açmadan içeriği görmek (gzip)[/b]
tar tzf archive.tar.gz
[b]Arşivden belirli bir dosyanın tarih bilgilerini görmek[/b]
tar xf archive.tar path/to/file --to-stdout | stat -c '%n %y' -
[b]Arşiv içeriğindeki dosyaların zaman damgalarını karşılaştırma (örnek çıktı üzerinden)[/b]
tar tf archive.tar | while read f; do stat -c '%n %y' "$f"; doneBu adımlar, tar ile işlem geçmişini “doğrudan” kaydetmese de, olayların hangi dosyalarla ilişkilendirilebileceğini ve zaman bağlamını anlamanıza yardımcı olur. Tar arşivlerinin içeriği ve oluşturulma anı arasındaki korelasyonları dikkatli yorumlamak gerekir; çünkü arşivler uzun süreli olayların tek başına kanıt değildir, fakat güvenlik olaylarında bağlayıcı ipuçları sunabilir.
Bu konuyu hangi bağlamda ele almak daha faydalı olur? Özellikle güvenlik olaylarında, belirli bir tar arşivinin hangi kullanıcıya veya hangi zaman damgasına denk geldiğini netleştirmek için kullandığınız araçlar veya kurduğunuz günlük/kurallar hakkında örnekler paylaşabilir misiniz?
