Ders 2.72: Denetim izini korumak
Bir denetim izi ancak ihtiyacın olduğunda hâlâ orada ve eksiksizse işe yarar. root olan saldırganlar kuralları kapatmaya çalışır ve dolu bir disk günlük tutmayı sessizce durdurabilir. auditd her günlük dosyasını tutabilir, disk dolmadan önce tepki verebilir, her kaydı yazıldığı anda uzak bir sunucuya gönderebilir ve kurallarını bir sonraki yeniden başlatmaya kadar root bile değiştiremeyecek şekilde kilitleyebilir. Laboratuvarda Northwind'in İK sunucusunu sağlamlaştırıyorsun: disk alanı eylemlerini düzeltiyor, uzak iletmeyi açıyor, kuralları değiştirilemez yapıyor ve kaldırılamadıklarını kanıtlıyorsun.
17 dk
Bu derste öğreneceklerin
- auditd.conf'un günlük ve disk alanı ayarlarını okumak
- Günlük tutmayı asla sessizce durdurmayan eylemler seçmek
- Uzak iletmeyi audisp-remote ile açmak
- Kuralları -e 2 ile değiştirilemez yapmak
- Değiştirilemezliği doğrulamak
Temel terimler
- max_log_file_action
- Bir günlük dosyası max_log_file'a ulaştığında auditd'nin yaptığı: ROTATE (en eskiyi sil) ya da keep_logs.
- space_left / admin_space_left
- Kendi eylemleri olan boş alan eşikleri (MB): syslog, email, single, halt, suspend.
- disk_full_action
- Disk dolduğunda ne olacağı; SUSPEND kaydı sessizce durdurur.
- audisp-remote
- Her kaydı uzak bir auditd'ye ya da SIEM'e gönderen bir denetim eklentisi.
- Değiştirilemez kurallar (-e 2)
- -e 2'den sonra yeniden başlatmaya kadar hiçbir kural eklenemez, kaldırılamaz ya da kapatılamaz.
← Rootsuz kapsayıcılar ve kullanıcı ad alanları · Tüm dersler · Gizli çekirdek modülleri ve sistem çağrısı kancaları →