Ders 1.15: Giriş kayıtları ve boşlukları
Linux kimin giriş yaptığına dair birbirinden bağımsız birkaç kayıt tutar: wtmp (last), btmp (lastb, başarısızlar), lastlog (hesap başına son giriş) ve kimlik doğrulama günlüğü. root olan saldırganlar çoğu zaman bunlardan birini düzenler; hepsini nadiren düzeltirler. Laboratuvarda Northwind'in Git sunucusu gece ele geçirildi. Her kaydı okuyor, bir parola tahmin patlamasını sayıyor, oturum geçmişinin göstermediği bir root girişini buluyor ve wtmp'nin düzenlendiğini diğerleriyle çapraz denetleyerek kanıtlıyorsun.
19 dk
Bu derste öğreneceklerin
- wtmp, btmp, lastlog ve auth.log'un her birinin neyi kaydettiğini bilmek
- last ve lastb çıktısını okumak
- Başarısız girişleri kaynağa göre saymak
- Silinmiş bir oturumu bulmak için kayıtları çapraz denetlemek
- Ham kayıtları utmpdump ile okumak
Temel terimler
- wtmp
- Girişlerin, çıkışların ve açılışların ikili geçmişi; last ile okunur.
- btmp
- Başarısız giriş denemeleri; yalnızca root okuyabilir; lastb ile okunur.
- lastlog
- Hesap başına bir kayıt: yalnızca en son giriş.
- auth.log
- sshd, sudo ve PAM'den gelen kimlik doğrulamanın metin günlüğü; rsyslog yazar.
- utmpdump
- utmp/wtmp/btmp kayıtlarını metin olarak yazar; -r ile metni yeniden kayda çevirir.
- Gösterge silme
- Saldırganların saklanmak için günlükleri ve kayıtları temizlemesi ya da düzenlemesi.
← Bir süreci /proc üzerinden okumak · Tüm dersler · osquery ile süreç ve bağlantı avı →