Sunucu güvenliği ve denetimi: AIDE, auditd
auditd, bütünlük denetimi ve davranış izleme.
Seviye 301 · 16 ders · 18 pratik lab
Dersler
Dosya bütünlüğü
- AIDE ile dosya bütünlüğü izleme: auditd ile dosya bütünlüğü izlemenin, önemli dosyalarda izinsiz değişikliği nasıl fark ettirdiğini ve hangi dosyaların izlenmesi gerektiğini anlarsın.
- AIDE: temel durum ve rapor: auditd ile birlikte kullanılan AIDE'de sağlam bir sistemin temel durumunu kaydetmeyi, sonra yapılan değişiklikleri raporda okumayı öğrenirsin.
- AIDE kurallarını ayarlamak: gürültülü dizinleri ayıklamak
- AIDE denetimini zamanlamak ve raporu iletmek
- Kısa görev: değiştirilen bir sistem dosyasını AIDE ile bul
auditd
- auditd ile sistem denetimi: auditd'nin sistemde kimin neyi yaptığını nasıl kaydettiğini ve bu kayıtların nerede tutulduğunu anlarsın.
- auditd denetim kuralları ve anahtarlar: auditd'de hangi olayların kaydedileceğini belirleyen denetim kurallarını ve kayıtları sonradan bulmayı kolaylaştıran anahtarları (key) kullanmayı öğrenirsin.
- Hassas dosyaları izlemek: /etc/shadow, sudoers, SSH anahtarları
- Çalıştırılan komutları kaydetmek: execve kuralları
- auditd: ausearch ile olayları ilişkilendirmek: auditd'nin ausearch aracıyla dağınık denetim kayıtlarını birleştirip tek bir olayın baştan sona hikâyesini çıkarmayı öğrenirsin.
- aureport ile özet raporlar
- Kısa görev: crontab değişikliklerini yakalayan bir kural yaz
Soruşturma
- grep ve auditd ile başarısız girişleri süzmek: auditd ve sistem günlüklerinden başarısız giriş denemelerini süzüp tekrarlayan hesapları ve kaynak adreslerini ayırt etmeyi öğrenirsin.
- auditd ile sudo kullanımını çıkarmak: auditd kayıtlarından kimin sudo ile hangi komutları yönetici yetkisiyle çalıştırdığını çıkarıp olağandışı kullanımı fark etmeyi öğrenirsin.
- auditd ve AIDE ile içeriden erişim ve dosya kurcalama soruşturması: Kurgusal bir olayda bir çalışanın yetkili erişimini ve dosyalardaki izinsiz değişiklikleri auditd denetim kayıtlarından adım adım ortaya çıkarmayı öğrenirsin.
- Bitirme görevi: auditd ve AIDE ile bir sunucunun denetim raporu: Bitirme görevi: kurgusal bir şirketin sunucusunda dosya bütünlüğünü ve auditd denetim kayıtlarını inceleyip bulguları kısa bir denetim raporunda toplarsın.
Pratik lablar
- AIDE ile değiştirilen sistem dosyasını bul: Mevcut temel veritabanıyla kontrol çalıştır ve raporda değişen ikili dosyayı belirle.
- AIDE kurallarındaki gürültülü klasörleri dışla: Her çalıştırmada değişen günlük ve önbellek yollarını kurallardan çıkar ve raporun sadeleştiğini göster.
- Meşru güncellemeden sonra temel çizgiyi güvenle yenile: Paket güncellemesi kaynaklı değişiklikleri doğrula, şüpheli bir dosyayı ayır ve yeni veritabanını oluştur.
- Zaman damgası geri alınmış dosyayı AIDE ile yakala: Zaman damgası eski tarihe çekilmiş ama içeriği değişmiş dosyayı hash farkından bul ve neden ls’de görünmediğini açıkla.
- /etc/passwd değişikliklerini izleyen kural yaz: Anahtarlı bir izleme kuralı ekle, dosyayı değiştir ve ausearch ile olayı anahtarından bul.
- SSH anahtarı eklenmesini yakalayan kural yaz: Tüm kullanıcıların authorized_keys dosyalarını izle ve yeni anahtar ekleyen kullanıcıyı olaydan bul.
- Root olarak çalıştırılan komutları execve ile kaydet: euid=0 için execve kuralı ekle, gürültüyü azalt ve bir yöneticinin çalıştırdığı komutları listele.
- Kuralların yeniden başlatmada kaybolmasını engelle: Yalnızca auditctl ile eklenmiş kuralları kalıcı dosyaya taşı, değiştirilemez modu aç ve yeniden başlatmada kanıtla.
- aureport ile başarısız girişleri özetle: Başarısız kimlik doğrulama raporunu üret ve en çok denenen hesabı ve kaynağı yaz.
- Bir kullanıcının sudo ile yaptığı her şeyi çıkar: auid alanını kullanarak sudo sonrası çalışan komutları kullanıcıya bağla ve zaman sırasına koy.
- Silinmiş günlüğü ve sileni bul: unlink çağrılarını içeren olaylardan silinen günlük dosyasını ve silen kullanıcıyı, saatiyle birlikte belirle.
- Bir iç kullanıcının veri kopyalamasını iki kaynaktan kanıtla: auditd erişim kayıtlarıyla AIDE değişiklik raporunu birleştir ve dosyaların kim tarafından nereye kopyalandığını göster.
- Gece çalışan bir betiğin kimin adına çalıştığını bul: Saat 02.00’deki olayları süz, cron’dan başlayan betiğin kullanıcısını ve dokunduğu dosyaları listele.
- AIDE raporunu okuyup değişiklik türlerini açıkla: Rapordaki eklenen, silinen ve değişen girişleri ayır ve her değişikliğin hangi özniteliği etkilediğini yaz.
- AIDE veritabanının kendisinin değiştirilmediğini kanıtla: Veritabanını ve yapılandırmayı salt okunur bir konuma taşı, özetini ayrı sakla ve yerinde bırakılan kopya değiştirildiğinde denetimin bunu yakaladığını göster.
- Bir denetim kaydındaki auid ve uid farkını açıkla: Verilen üç auditd kaydında işlemi yapan asıl kullanıcıyı auid alanından bul ve sudo ile root olan kişinin adını yaz.
- Bir execve kaydındaki komutu ve argümanlarını oku: ausearch çıktısındaki üç kayıttan çalıştırılan programı, argümanlarını ve çalışma dizinini çıkar.
- Komut kaydını gürültüden arındırıp günlük rapora çevir: İzleme ajanı ve cron kaynaklı kayıtları kuralla dışarıda bırak, kalan root komutlarını kullanıcıya göre özetleyen aureport tabanlı bir rapor üret.
Kurs hakkında
auditd, bütünlük denetimi ve davranış izleme.
Ne öğreneceksin
- Dosya bütünlüğü
- auditd
- Soruşturma
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.