Ders 2.17: Linux kimlik doğrulama ve denetim günlükleri

Linux sunucularda auth.log SSH girişlerini, sudo komutlarını ve hesap değişikliklerini kaydeder; denetim hizmeti (auditd) ise izlemeyi seçtiğin dosyalardaki değişiklikleri, asıl oturum açan kullanıcıyla birlikte kaydeder. İkisi birlikte bir saldırganın yaptıklarını yeniden kurar. Laboratuvarda app01'i inceliyorsun: sonunda başarılı olan bir parola tahmini, sudo ile bir root kabuğu, sudo grubuna eklenmiş yeni bir kullanıcı, root hesabına yerleştirilmiş bir SSH anahtarı ve kalıcılık için bir cron dosyası, ve bunu mümkün kılan yapılandırma hatası.

17 dk

Bu derste öğreneceklerin

auth.log'daki SSH, sudo ve hesap olaylarını okumak
Başarılı bir kaba kuvvet saldırısını tanımak
auditd kayıtlarını ve auid alanını okumak
Yerleştirilmiş SSH anahtarlarını ve cron kalıcılığını bulmak
Kök nedeni sshd_config'de belirlemek

Temel terimler

auth.log: Debian/Ubuntu'nun kimlik doğrulama günlüğü: sshd girişleri, sudo, su, useradd, passwd.
auditd: İzlenen dosyaları ve sistem çağrılarını /var/log/audit/audit.log'a kaydeden Linux denetim hizmeti.
auid: Denetim kullanıcı kimliği: sudo ve su boyunca korunan, ilk oturum açan hesap.
authorized_keys: Bir hesaba SSH ile giriş yapmasına izin verilen açık anahtarların listesi.
Kaba kuvvet: Biri işe yarayana kadar birçok parola denemek.

← Güvenlik başlıkları · Tüm dersler · HMAC ve mesaj doğrulama →