Linux saldırılarını tespit etmek: auditd, Falco, eBPF
Linux sunuculara yönelik web kabuğu, kalıcılık, yetki yükseltme ve konteyner kaçışı girişimlerini auditd kuralları ve Falco ile yakalar, eBPF’in sağladığı görünürlüğü kullanırsın.
Seviye 401 · 13 ders · 15 pratik lab
Dersler
Telemetri
- Linux telemetri kaynakları: auditd, journald, eBPF
- Tespit odaklı auditd kuralları
- Falco kuralları: koşul, çıktı, öncelik
- Kısa görev: bir komutun hem auditd hem Falco’daki izini bul
Saldırı davranışları
- Web kabuğu: web sunucusunun kabuk başlatması
- Ters kabuk ve beklenmeyen dış bağlantılar
- Kalıcılık: cron, systemd, SSH anahtarı, ld.so.preload
- Yetki yükseltme: SUID, sudo kötüye kullanımı, çekirdek açıkları
- Kripto madenciliği: işlemci kullanımı ve havuz bağlantıları
- Konteyner kaçışı belirtileri
- Kısa görev: web kabuğundan root’a uzanan zinciri üç kuralla yakala
Bitirme
- Kuralları ayarlamak: yönetici işleri ve yedekleme gürültüsü
- Bitirme görevi: ele geçirilmiş bir web sunucusunda saldırganı adım adım yakala
Pratik lablar
- Aynı komutun izini auditd ve Falco’da bul: Bir komutu çalıştır, iki kaynaktaki kayıtlarını bul ve hangisinin neyi fazladan gösterdiğini yaz.
- Tespit odaklı auditd kuralı yaz: kimlik dosyaları: passwd, shadow ve sudoers yazmalarını anahtarla izle ve yalnızca paket yöneticisi dışındaki değişikliği alarmla.
- Falco kuralının kaçırdığı kabuğu bul ve kuralı düzelt: Kuralın yalnızca bash’i izlediğini göster, sh ve dash’i kapsayacak şekilde koşulu genişlet ve test et.
- Web sunucusunun başlattığı kabuğu yakala: Ebeveyni web sunucusu olan kabuk süreçlerini kayıtlarda bul ve çalıştırılan komutu yaz.
- Ters kabuğu beklenmeyen dış bağlantıdan tespit et: Kabuk sürecinin ağ soketi açtığı olayı Falco ile yakala ve hedef adresi raporla.
- ld.so.preload ile kalıcılığı yakala: Dosyaya yazılmasını izleyen kural ekle, değişikliği tetikle ve yüklenen kütüphanenin yolunu bul.
- Kripto madenciliğini CPU ve bağlantı izinden bul: Yüksek CPU kullanan süreci havuz portuna giden bağlantıyla eşleştir ve süreci başlatan kalıcılığı bul.
- SUID kötüye kullanımıyla root olan süreci yakala: uid ve euid farkı olan execve olaylarını süz ve yetki yükselten ikiliyi ve kullanıcıyı bul.
- Konteynerden kaçış işaretini Falco ile yakala: Konteyner içinden ana makine dosya sistemine bağlama ve nsenter kullanımını alarmlayan kuralı yaz ve dene.
- Yönetici bakım işini saldırıdan ayıran istisna yaz: Yedekleme betiğinin tetiklediği alarmı kullanıcı ve yol koşuluyla dışla ve saldırı testinin yakalandığını göster.
- Web kabuğundan root’a giden zinciri üç kayıtla kanıtla: Web isteği, kabuk süreci ve yetki yükseltme olaylarını süreç kimliğiyle birbirine bağla.
- Yeni eklenen sudoers dosyasını denetim kaydından yakala: sudoers.d dizinini izleyen bir auditd kuralı ekle, dosya oluştur ve kimin ne zaman eklediğini kayıttan çıkar.
- Konteyner içinde açılan etkileşimli kabuğu tespit et: Hazır Falco kuralını etkinleştir, kendi lab konteynerinde bir kabuk aç ve uyarıdaki konteyner adı ile kullanıcıyı oku.
- Web sunucusu sürecinin başlattığı alt süreçleri listele: Denetim kayıtlarında web sunucusu kullanıcısının çalıştırdığı komutları zaman sırasıyla çıkar.
- Web erişim kaydını süreç kaydıyla zamana göre eşle: Yükleme dizinine gelen isteği ve hemen ardından başlayan kabuk sürecini aynı zaman çizelgesinde göster.
Kurs hakkında
Linux sunuculara yönelik web kabuğu, kalıcılık, yetki yükseltme ve konteyner kaçışı girişimlerini auditd kuralları ve Falco ile yakalar, eBPF’in sağladığı görünürlüğü kullanırsın.
Ne öğreneceksin
- Telemetri
- Saldırı davranışları
- Bitirme
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.