Çekirdek, önyükleme ve servis yalıtımı
Saldırganın kalıcılık için kullandığı önyükleme zincirini ve çekirdeği korur, systemd ile servisleri yalıtır, seccomp ile sistem çağrılarını daraltırsın.
Seviye 401 · 15 ders · 15 pratik lab
Dersler
Önyükleme zinciri
- Güvenli önyükleme zinciri: UEFI, shim, GRUB, çekirdek
- GRUB parolası ve çekirdek parametrelerinin korunması
- LUKS ile disk şifreleme ve anahtar yönetimi
- Kısa görev: tek kullanıcı kipine parolasız girilemediğini kanıtla
Çekirdek
- Çekirdek kilitleme kipi ve imzalı modüller
- Gereksiz çekirdek modüllerini kapatmak: usb-storage ve nadir protokoller
- Çekirdek komut satırı sıkılaştırma seçenekleri
- Çekirdek güncellemesi, yeniden başlatma ve canlı yama
- Kısa görev: kullanılmayan dosya sistemi modüllerini kalıcı olarak engelle
Servis yalıtımı
- systemd-analyze security ile servis puanı
- Yalıtım seçenekleri: PrivateTmp, ProtectHome, NoNewPrivileges
- seccomp ile sistem çağrılarını süzmek: SystemCallFilter
- Linux yetenekleri: CapabilityBoundingSet ve AmbientCapabilities
- Kısa görev: bir servisin açıklık puanını 9’dan 3’ün altına indir
Bitirme
- Bitirme görevi: kritik bir sunucuda önyüklemeden servise katmanlı koruma
Pratik lablar
- GRUB’a parola koy ve menü düzenlemeyi kilitle: Şifrelenmiş GRUB parolası ekle, yapılandırmayı yeniden üret ve parolasız düzenlemenin engellendiğini göster.
- LUKS diskine yedek anahtar ekle ve eskisini kaldır: Yeni anahtar yuvası ekle, açılışı test et, ayrılan çalışanın bildiği eski anahtarı sil ve yuvaları listele.
- Secure Boot zincirinde imzasız halkayı bul: mokutil ve dmesg ile Secure Boot durumunu incele, imzasız yüklenen modülü bul ve neden yüklenebildiğini açıkla.
- usb-storage modülünü kalıcı olarak engelle: modprobe.d’ye engel kuralı yaz, modülü yüklemeyi dene ve yüklenmediğini göster.
- Kullanılmayan dosya sistemi ve ağ modüllerini kapat: cramfs, dccp ve sctp gibi modülleri engelle, yüklü listeyi kontrol et ve engelin yeniden başlatmada sürdüğünü göster.
- Kernel lockdown’ı aç ve imzasız modül yüklemeyi dene: Lockdown’ı integrity modunda aç, imzasız bir test modülünün reddedildiğini ve /dev/mem erişiminin kapandığını kanıtla.
- Çekirdek komut satırındaki güvenlik seçeneklerini oku: /proc/cmdline’ı incele, eksik olan sertleştirme seçeneklerini listele ve her birinin ne yaptığını yaz.
- Komut satırına sertleştirme seçeneklerini ekle: GRUB ayarına init_on_free ve slab_nomerge gibi seçenekleri ekle, yeniden başlat ve etkin olduklarını göster.
- Canlı yama sonrası eski çekirdekle çalışan sunucuyu ayır: Kurulu, çalışan ve canlı yamalı çekirdek sürümlerini karşılaştır, yeniden başlatma gereken açığı belirle ve planla.
- Bir servisin maruz kalma puanını ölç: systemd-analyze security ile servisi puanla ve en çok puan kaybettiren üç ayarı yaz.
- Rapor servisine PrivateTmp ve ProtectHome ekle: Drop-in dosyasıyla sandbox seçeneklerini ekle, servisi yeniden başlat ve hâlâ çalıştığını göster.
- Servisi seccomp ve yetenek süzgeciyle daralt: SystemCallFilter ve CapabilityBoundingSet ekleyerek puanı 3’ün altına indir ve servisin işlevini test et.
- Root olmadan 80. portu dinleyen servis kur: Servisi ayrı kullanıcıyla çalıştır, yalnızca CAP_NET_BIND_SERVICE ver ve başka yetkisi olmadığını kanıtla.
- Bir servisin hangi yeteneklerle çalıştığını oku: Çalışan servisin sürecinde etkin yetenek kümesini ve birim dosyasındaki ilgili ayarları göster.
- Root olarak çalışan servisin yeteneklerini sınırla: CapabilityBoundingSet ve NoNewPrivileges ayarlarıyla servise yalnızca gereken iki yeteneği bırak ve çalıştığını doğrula.
Kurs hakkında
Saldırganın kalıcılık için kullandığı önyükleme zincirini ve çekirdeği korur, systemd ile servisleri yalıtır, seccomp ile sistem çağrılarını daraltırsın.
Ne öğreneceksin
- Önyükleme zinciri
- Çekirdek
- Servis yalıtımı
- Bitirme
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.